Ministerie van Volksgezondheid, 
Welzijn en Sport 



Regeling van de Minister van Volksgezondheid, 

Welzijn en Sport van 1 G NOV 2015 

houdende wijziging van de Regeling zorgverzekering in 
verband met het aanleveren van de 
zorgvraagzwaarteindfcator aan zorgverzekeraars 
(Regeling aanlevering zorgvraagzwaarte cGGZ) 


865607’143589-MC 


De Minister van Volksgezondheid, Welzijn en Sport, 

Gelet op de artikelen 87 en 88 van de Zorgverzekeringswet; 

Gezien de Regeling zorgvraagzwaarte cGGZ (Stcrt,2013, nr, 30961); 

Gezien de Regeling verlenging tijdelijke opschorting zorgvraagzwaarte cGGZ 
(Stcrt. 2015, 6779); 

Overwegende dat het wenselijk is persoonsgegevens, waaronder medische 
gegevens, met betrekking tot de levering van geestelijke gezondheidszorg te 
verwerken ten behoeve van formele en materiële controle en kwaliteit van zorg 
voor zorgverzekeraars en zorgaanbieders en ten behoeve van de uitvoering van 
de risicoverevening door het Zorginstituut Nederland; 

Overwegende dat GGZ Nederland, de Landelijke Vereniging van Vrijgevestigde 
Psychologen en Psychotherapeuten (LWP), de Nederlandse Vereniging voor 
Psychiatrie (NVvP), het Nederlands Instituut voor Psychologen (NIP), het Landelijk 
Platform GGZ, Zorgverzekeraars Nederland en de Nederlandse Zorgautoriteit een 
verwerking van het gegeven zorgvraagzwaarte kunnen realiseren die zo min 
mogelijk inbreuk maakt op de persoonlijke levenssfeer van de verzekerde; 

Gezien het advies van het College bescherming persoonsgegevens van 
15 september 2015, kenmerk z20i5-00360; 

Besluit: 


Artikel I 

De Regeling zorgverzekering wordt als volgt gewijzigd: 

A 
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In artikel eerste lid, komt onderdeel cc. te luiden: 

cc. rapport zorgvraag zwaarte: algemeen aanvaard rapport over 

zorgvraagzwaarte; 

B 

Artikel 7,2 wordt als volgt gewijzigd: 

1. In artikel 7.2 vervallen het tweede, derde en vierde lid. 

2. Het nummer voor het eerste lid vervalt. 


C 

Na artikel 7.2 worden drie nieuwe artikelen ingevoegd, luidende: 

Artikel 7.2a (declareren via VECOZO B.V.] 

1. Dit artikel is van toepassing indien een zorgaanbieder de kosten van ge¬ 
specialiseerde geestelijke gezondheidszorg door tussenkomst van VECOZO 

B. V. in rekening brengt bij een zorgverzekeraar. 

2. Mits vermeld in een declaratieregeling die van toepassing is voor een 
zorgaanbieder, bedoeld in het eerste lid, 

beschikt de zorgverzekeraar, met inachtneming van het bepaalde bij of 
krachtens dit artikel, over het gegeven zorgvraagzwaarte van de verzeker¬ 
de voor de analyses en controles als bedoeld In de artikelen 7,6 tot en met 
7.9, met het oog op de uitvoering van formele en materiële controle ten 
behoeve van de in artikel 7.1, tweede lid, aangegeven doelen en voor zo¬ 
ver dat noodzakelijk Is voor de zorgverzekeraar om te voldoen aan zijn 
verplichting om gegevens te leveren aan het Zorginstltuut ten behoeve 
van de uitvoering van de Zorgverzekeringswet. 

3. De zorgaanbieder, bedoeld in het eerste lid, verstrekt de gegevens die op 
grond van het bij of krachtens artikel 38 van de Wet marktordening ge¬ 
zondheidszorg bepaalde moeten worden verstrekt, aan de zorgverzekeraar 
door tussenkomst van VECOZO B.V.. 

4. Het gegeven zorgvraagzwaarte, bedoeld in het tweede lid, wordt door VE¬ 
COZO B.V. gemaskeerd alvorens VECOZO B.V, dat gemaskeerde gegeven, 
met de overige gegevens bedoeld In het derde lid, aan de zorgverzekeraar 
verstrekt. 

5. De zorgverzekeraar ontvangt de door de zorgaanbieder verstrekte gege¬ 
vens, bedoeld in het derde lid, van VECOZO B.V., waarbij het gegeven 
zorgvraagzwaarte van de verzekerde is gemaskeerd. 

6. De zorgverzekeraar verstrekt gegevens bedoeld in het vijfde lid aan Vektis 

C. V. ten behoeve van het maken van analyses voor zorgaanbieders en 
zorgverzekeraars die noodzakelijk zijn voor de uitvoering van de zorgver¬ 
zekering of de Zorgverzekeringswet en ten behoeve van het verrichten van 
controle of fraudeonderzoek, waarbij het gegeven zorgvraagzwaarte van 
de verzekerde is gemaskeerd. 

7. Vektis C.V. ontvangt de door de zorgaanbieder verstrekte gegevens, 
bedoeld in het derde lid, van VECOZO B.V., waarbij het gegeven 
zorgvraagzwaarte van de verzekerde niet is gemaskeerd. 

8. Vektis C.V. verstrekt op verzoek van een zorgverzekeraar aan die zorgver¬ 
zekeraar het gegeven zorgvraagzwaarte indien en voor zover dat noodza- 
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keiijk is voor de zorgverzekeraar om te voldoen aan zijn verplichting om 
gegevens te leveren aan het Zorginstituut ten behoeve van de uitvoering 
van de Zorgverzekeringswet, nadat het gegeven zorgvraagzwaarte door 
Vektis C.V, is versleuteld. 

9. De zorgverzekeraar verstrekt op verzoek van het Zorginstituut aan deze 
het gegeven zorgvraagzwaarte, zoals dat gegeven door Vektis C.V. is ver¬ 
sleuteld, ten behoeve van de uitvoering van de Zorgverzekeringswet door 
het Zorginstituut. 

10. Vektis C.V, verstrekt op verzoek van het Zorginstituut aan deze de sleutel 
om het door Vektis C.V. versleutelde gegeven zorgvraagzwaarte te ont- 
sleutelen ten behoeve van de uitvoering van de Zorgverzekeringswet door 
het Zorginstituut, 

Artikel 7.2b 

1. VECOZO B.V. en Vektis C.V. dragen zorg voor passende technische en 
organisatorische maatregelen om persoonsgegevens te beveiligen bij de 
verwerkingen, bedoeld in artikel 7.2a, tegen verlies of tegen enige vorm 
van onrechtmatige verwerking. 

2. De door Vektis C.V. aan zorgaanbieders en zorgverzekeraars te 
verstrekken analyses, bedoeld in artikel 7.2a, bevatten geen tot 
individuele verzekerden te herleiden zorgvraagzwaartegegevens. 

3. Voor VECOZO B.V. en Vektis C.V. geiden dezelfde wettelijke voorschriften 
inzake geheimhouding van de verwerkte gegevens, bedoeld In artikel 7.2a, 
als voor de zorgverzekeraar, 

4. Personen Werkzaam bij of ten behoeve van VECOZO B.V. en Vektis C.V. 
voor wie niet reeds uit hoofde van ambt of beroep een 
geheimhoudlngplicht geldt, zijn verplicht tot geheimhouding van de 
gegevens die zij op grond van artikel 7.2a verwerken, behoudens voor 
zover enig wettelijk voorschrift hen tot mededeling verplicht. 

5. De zorgverzekeraar beschikt niet over de sleutel om het versleutelde ge¬ 
geven zorgvraagzwaarte, bedoeld In artikel 7.2a te ontsleutelen, 

6. De zorgverzekeraar beschikt, met inachtneming van het bepaalde in de ar¬ 
tikelen 7.5 tot en met 7.11 inzake de uitvoering van materiële controle, 
over het gegeven zorgvraagzwaarte Indlen op grond van analyse op basis 
van geaggregeerde gegevens of naar aanleiding van een ander signaal er 
reden is voor het instellen van nadere formele of materiële controles, met 
dien verstande dat indien en voor zover dat noodzakelijk is voor die con¬ 
troles, het gegeven zorgvraagzwaarte van de patiënt of de gegevens die 
noodzakelijk zijn voor het onderbouwen en aflelden van het gegeven zorg¬ 
vraagzwaarte van de desbetreffende patiënt herleidbaar naar die indivi¬ 
duele patiënt wordt, respectievelijk worden verwerkt onder verantwoorde¬ 
lijkheid van een medisch adviseur in opdracht van de zorgverzekeraar. 

7. De zorgautoriteit kan in een declaratieregeling, bedoeld in artikel 7.2a, 
tweede lid, en onder daarbij te stellen voorwaarden, voorschriften of be¬ 
perkingen, bepalen: 

a. op welke wijze het gegeven zorgvraagzwaarte moet worden ge¬ 
maskeerd en 

b. dat de verplichting tot verstrekken van het gegeven zorgvraag¬ 
zwaarte bij uitzondering niet van toepassing Is, 
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Artikel 7.2c (declareren "op papier"/ niet via VECOZO) 

1. Dit artikel is van toepassing indien de verzekerde of de zorgaanbieder na» 
mens de verzekerde de kosten van gespecialiseerde geestelijke gezond¬ 
heidszorg zonder tussenkomst van VECOZO B.V. In rekening brengt bij 
diens zorgverzekeraar. 

2. De zorgverzekeraar beschikt, met inachtneming van het bepaalde bij of 
krachtens dit artikel, niet over het tot een individuele verzekerde te herlei¬ 
den zorgvraagzwaartegegeven. 

3. De zorgaanbieder, bedoeld in het eerste lid, verstrekt de gegevens, die op 
grond van het bij of krachtens artikel 38 van de Wet marktordening 
gezondheidszorg bepaalde nnoeten worden verstrekt aan de verzekerde of 
namens een verzekerde aan diens zorgverzekeraar, zonder tussenkomst 
van VECÖZO B.V., 

4. Het zesde en zevende lid van artikel 7.2b zijn van overeenkomstige 
toepassing. 


Artikel 7.3 wordt als volgt gewijzigd: 

1. In het eerste [id wordt na "verplicht" ingevoegd: tenzij bij of krachtens 
deze regeling anders wordt bepaald; 

2. In het eerste lid komt de zinsnede "artikel 7.2, eerste lid, onderdeel a tot 
en met g, en tweede lid" te luiden: artikel 7.2, onderdeel a tot en met g; 

3. In het tweede lid komt de zinsnede "artikel 7.2, eerste lid, onderdeel i, en 
tweede lid" te luiden: artikel 7.2, onderdeel i. 


E 

In het eerste lid van artikel 7.4 wordt de zinsnede "de artikelen 7.2, derde lid en 
7,5 tot en met 7.9" vervangen door: de artikelen 7.2a tot en met 7.2c en 7.5 tot 
en met 7.9. 


Artikel II 

1. Artikel II van de Regeling verlenging tijdelijke opschorting zorgvraagzwaarte 
cGGZ vervalt. 

2. De zorgaanbieder is verplicht de zorgvraagzwaarteindicator, die wordt afgeleid 
uit brongegevens die de zorgaanbieder heeft geregistreerd met betrekking tot 
zorg waarop het vierde lid van artikel 7.2 is toegepast in de jaren 2014 of 
2015, aan de zorgverzekeraar te leveren op de wijze die de Nederlandse Zorg¬ 
autoriteit in een regeling op grond van de Wet marktordening gezondheidszorg 
kan vaststellen. 
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Artikel III 

1, Het tweede lid van artikel 7.2 van de Regeling zorgverzekering, zoals dat 
artikel luidde voor de inwerkingtreding van deze regeling, blijft van 
toepassing op het gegeven zorgzwaarte van de verzekerde dat aan een 
zorgverzekeraar is verstrekt op basis van een declaratieregeling als bedoeld 
In dat lid. 

2. De leden 3 tot en met 5 van artikel 7.2a en artikel 7,2b zijn van overeenkom¬ 
stige toepassing indien een zorgaanbieder abusievelijk vla VECOZO het gege¬ 
ven zorgvraagzwaarte aanlevert voordat dat gegeven verplicht op de bij arti¬ 
kel 7.2a bepaalde wijze moet worden aangeleverd. 


Artikel IV 

Deze regeling treedt in werking op 1 januari 2016 en werkt voor wat betreft 
Artikel II, tweede lid, en Artikel III, eerste lid, terug tot en met 1 januari 2014. 


Artikel V 

Deze regeling wordt aangehaald als: Regeling aanlevering zorgvraagzwaarte 
cGGZ. 


Deze regeling wordt met de bijhorende toelichting en de bijlage in de 
Staatscourant geplaatst. 

De Minister van Volksgezondheid, 

Welpijn en Sport, 


mfv. E I. Schic^pers 
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Toelichting 


Inhoud 

Algemeen deel 

1. Inleiding 

2. Wijziging van de uitgangssituatie 

3. Verkenning alternatieven 

4. Alternatieve aanlevering van de zorgvraagzwaarteindicator 

5. Uitwerking routes alternatieve declaraties 

6. Groeimodel 

7. Verwerking persoonsgegevens 

8. Wettelijk kader bescherming persoonsgegevens 

9. Advies CBP 

10. Verwerking advies CBP 

11. Fraudetoets 

Artikelsgewijs 


Algemeen deel 
1. Inleiding 

Op 30 oktober 2013 is de Regeling zorgvraagzwaarte cGGZ vastgesteld^ Met die 
regeling werd de verplichting opgelegd aan zorgaanbieders om het gegeven zorg- 
vraagzwaarte^ op de factuur te vermelden indien de Nederlandse Zorgautoriteit, 
verder te noemen de zorgautoriteit, daartoe een declaratieregeling zou vaststel¬ 
len. Met die regeling werd ook een definitie van zorgvraagzwaarte en een definitie 
van het rapport zorgvraagzwaarte, waarin de zorgvraagzwaarte werd beschreven, 
opgenomen in de Regeling zorgverzekering (Rzv). De onderhavige regeling heeft' 
betrekking op die zorgvraagzwaarte, bedoeld in dat rapport en de opvolger(s) 
daa^van^ De verwerking van het gegeven zorgvraagzwaarte is noodzakeüjk voor 
de uitvoering van de formele en materiële controle en voor de zorginkoop, beide 
uit te voeren door zorgverzekeraars, en voor de uitvoering van de risicoveVevening 
door Zorginstituut Nederland, verder te noemen het zorginstituut'^, De genoemde 
regeling beperkte het gebruik van het gegeven zorgvraagzwaarte voor de uitvoe¬ 
ring van formele en materiële controle tot de in artikel 7,1, tweede lid, aangege¬ 
ven doelen en tot de toepassing van artikel 7,4a. Daarbij is vastgesteld en in de 
toelichting bij die regeling opgenomen dat het enkele gegeven zorgvraagzwaarte, 
als bedoeld in het rapport zorgvraagzwaarte 1,0, onvoldoende zeggingskracht 
heeft om in individuele gevallen bij individuele verzekerden de rechtmatigheid van 
een ingediende declaratie te betwisten. In de toelichting bij die regeling is ook 


' Stcrt. 2013, nr. 30961 

^ In de artikelen van de onderhavige regeling wordt het begrip '"het gegeven 
zorgvraagzwaarte gebruikt. Omdat dat gegeven tot nu toe alleen in de vorm van een 
zorgvraagzwaarteindicator wordt gebruikt, wordt in deze toelichting veelal het begrip 
zorgvraagzwaarteindicator gebezigd, afgekort tot zvzi 

^ Een tweede rapport over zorgvraagzwaarte is vastgesteJd; de definitie in de Rzv wordt 
aangepast 

* Zie toelichting bij de Regeling zorgvraagzwaarte cGGZ 
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vastgcstGfd dat het gegeven zorgvraagzwaarte voor de materiële controle en zor- 
ginkoop bruikbaar kan zijn op geaggregeerd niveau per zorgaanbieder/praktijk. 
Aan het niveau van aggregatie en de daarover tussen zorgaanbieders en zorgver¬ 
zekeraars te maken afspraken wordt in hoofdstuk 4 van deze toelichting nader 
aandacht besteed. Een concept van de genoemde Regeling zorgvraagzwaarte 
cGGZ is indertijd ter toetsing voorgelegd aan het College bescherming persoons¬ 
gegevens (CBP). Het CBP heeft op 4 september 2013 geadviseerd^. 

In de toelichting bij die Regeling zorgvraagzwaarte cGGZ is ingegaan op de keuze 
voor de wijze waarop het gegeven zorgvraagzwaarte aan verzekeraars moest 
worden verstrekt en waarom er, bij gebrek aan een andere wijze die minder be¬ 
lastend zou zfjn geweest voor de bescherming van persoonsgegevens van patiën¬ 
ten en verzekerden, voor verplichte vermelding van de zorgvraagzwaarteindicator 
(zvzi) op de factuur was gekozen. 


In verband met de verkenning van een mogelijke aiternatieve aanlevering van het 
gegeven zorgvraagzwaarte door zorgaanbieders aan zorgverzekeraars is de ver¬ 
plichting tot verstrekking van het gegeven zorgvraagzwaarte op de factuur bij 
regeling van 23 september 2014 tijdelijk opgeschort tot en met 31 december 
2014^. Bij regeling van 5 maart 2015 is die tijdelijke opschorting verlengd tot en 
met 31 december 2015^. De Tweede Kamer der Staten-Generaal is bij brief van 
16 decernber 2014 over de verlenging ingelicht®. 

Inmiddels is een alternatieve wijze van verstrekking van het gegeven zorgvraag¬ 
zwaarte ontwikkeld door GGZ Nederland, de Landelijke Vereniging van Vrijgeves¬ 
tigde Psychologen en Psychotherapeuten (LVVP), de Nederlandse Vereniging voor 
de Psychiatrie (NVvP), het Nederlands Instituut voor Psychologen (NIP), het Lan¬ 
delijk Platform GGZ (LPGGZ), Zorgverzekeraars Nederland en de zorgautoriteit. 
Deze nieuwe wijze van aanlevering is minder belastend voor de bescherming van 
de persoonlijke levenssfeer van de verzekerde patiënt dan de verplichte vermel¬ 
ding van de zvzi op de ggz-factuur. 

De nieuwe wijze van aanlevering bestaat uit een wijze waarbij de zorgaanbieder 
aan de zorgverzekeraar declareert door tussenkomst van VECOZO B.V., verder te 
noemen VECOZO, verder aangeduid als "digitale declaratie", en een wijze van 
aanleveren die niet geschiedt door tussenkomst van VECOZO, verder aangeduid 
als "papieren declaratie". 

Door de digitale wijze van aanlevering via VECOZO - en de daarbij behorende 
maskering van de zvzi - beschikt de zorgverzekeraar niet over de tot de verzeker¬ 
de patiënt herleidbare zvzi Indien de kosten van gespecialiseerde geestelijke ge¬ 
zondheidszorg bij de zorgverzekeraar in rekening worden gebracht. Ten behoeve 
van de materiële controle krijgt de verzekeraar van Vektis C.V, verder te noemen 
Vektis, wel de beschikking over analyses op geaggregeerd niveau waarin de zorg- 
vraagzwaarteindicatoren zijn verwerkt. VECOZO en Vektis treden bij de verwer¬ 
kingen van de zvzi op als Trusted Third Party (TTP). 


Bijlage bij Kamerstukken II, 2013/14, 25 424, nr. 229 
® Stcrt. 2014, nr. 27276 
’ Stcrt. 2015, nr. 6779 
® Kamerstukken H 2014/15, 25 424, nr, 259 
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Het alternatief voor de papieren declaratie betreft het maskeren^ van de zvzi op 
de papieren deciaratie. De reden dat het gegeven zorgvraagzwaarte op de papie¬ 
ren declaratie kan worden gemaskeerd ligt in de verwachting dat de stroom van 
papieren declaraties zai afnemen, het thans In relatieve zin geringe aandeel in de 
kosten voor gespecialiseerde ggz en het evenzeer relatief geringe aandeel van 
deze declaraties in het totaal aantal declaraties. 

De nieuwe wijze van aanlevering is in de vorm van een concept van onderhavige 
regeling voor advies voorgelegd aan het CBP. In die regeling was de alternatieve 
aanlevering die in de onderhavige regeling als hoofdregel is opgenomen ais tijde¬ 
lijk aangemerkt, in afwachting van een definitieve vormgeving van de aanlevering, 
die naar toenmalige verwachting in werking zou treden op 1 januari 2017. Die 
inwerkingtreding wordt thans voorzien op een later tijdstip en wordt In overleg 
met alle betrokken partijen nader bepaald. Het CBP op 15 september 2015 positief 
geadviseerd heeft over zowel de voorgenomen definitieve vormgeving als over de 
tijdelijke vormgeving van de aanlevering In hoofdstuk 9 Is aangegeven hoe dat 
advies in de onderhavige regeling is verwerkt. Het advies is als bijlage bij deze 
toelichting gevoegd. 

Inmiddels is een vervolgrapport over zorgvraagzwaarte vastgesteld waarin ook 
wordt ingegaan op het gebruik van de zvzi. 

Alvorens de alternatieve aanleveringen van de zvzi nader te schetsen, wordt eerst 
de uitgangssituatie weergegeven voor de onderhavige regeling. 

2. Uitgangssituatie 

De verplichting de zvzi te verstrekken ten behoeve van de zorginkoop, materiële 
controle en risicoverevening voor de uitvoering van de zorgverzekering en de 
Zorgverzekeringswet geldt met ingang van 2014 op grond van de Regeling zorg¬ 
vraagzwaarte cGGZ. Papieren verstrekking van de zvzi op de factuur is mogelijk 
per 1 januari 2014. Softwarematige verstrekking van de zvzi per elektronische 
factuur is mogelijk per 1 juli 2014. Br kunnen zorgaanbieders zijn die de zvzi in 
2014 hebben verstrekt aan verzekeraars of patiënten. 

Voor de verstrekking van medische persoonsgegevens als de zvzi door de 
zorgaanbieder, heeft deze een wettelijke grondslag nodig om het beroepsgeheim 
te doorbreken en de geheimhoudingsplicht op te heffen, De wetteüjke grondslag 
bestaat uit de verplichtingen voor zorgaanbieders neergelegd in artikel 87 Zorg¬ 
verzekeringswet (Zvw), hoofdstuk 7 van de Rzv en de declaratieregeling van de 
zorgautoriteit op grond van artikel 38 Wet marktordening gezondheidszorg 
(WMG). Zo nodig kunnen ook de artikelen 61, 62 en 68 WMG een wettelijke 
grondslag bieden. 

De bevoegdheden van de verzekeraars met betrekking tot de zvzi zijn sinds 2014 
onder andere gelimiteerd op basis van artikel 87 Zvw, hoofdstuk 7 van de Rzv en 
de declaratieregeling van de zorgautoriteit op grond van artikel 38 WMG. 


9 

Onder maskeren wordt verstaan het zodanig wijzigen van een spedtiek kenmerk dat dit 
onherkenbaar wordt en dat specifieke kenmerk niet meer herkenbaar gemaakt kan worden 
Advies CBP, IS september 2015, kenmerk z2015-00360 
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De bevoegdheid van Zorginstituut Nederland, verder te noemen het zorginstituut, 
om de zvzi te verwerken voor de risicoverevening berust op de taken die dat insti¬ 
tuut uitvoert op grond van de artikelen in paragraaf 4.2 Zvw. 

De verplichting voor de zorgaanbieder bestaat uit het aanleveren van de in hoofd¬ 
stuk 7 van de Rzv en de declaratieregeling van de zorgautoriteit op grond van 
artikel 38 WMG genoemde gegevens. Artikel 87 Zvw geeft de ruimte om in de Rzv 
nader te bepalen of een gegeven, waaronder ook kan worden verstaan een me¬ 
disch persoonsgegeven, door zorgaanbieders op de factuur of op andere wijze aan 
de verzekeraars moet worden verstrekt. Een gedetailleerde beschrijving van de 
verhouding tussen artikel 87 Zvw, hoofdstuk 7 van de Rzv en de declaratierege¬ 
ling van de zorgautoriteit op grond van artikel 38 WMG is opgenomen in de toe¬ 
lichting bij de Regeling zorgvraagzwaarte cGGZ. 

3. Verkenning alternatieven 

Voor de zorgverzekeraars en het zorginstituut, zijn de hoofdprocessen, die 
betrekking hebben op zorginkoop, declaratieafhandeling met formele en materiële 
controle en de risicoverevening, afhankelijk van informatie uit het 
dedaratieverkeer en de gegevens die daarbij door zorgaanbieders worden 
aangeleverd. Omdat de meeste declaraties digitaal door zorgaanbieders worden 
aangeleverd via VECOZO aan de zorgverzekeraars is de aandacht bij de 
verkenning van mogelijkheden voor een alternatieve aanlevering van de zvzi naar 
dat traject uitgegaan. VECOZO is bereid gevonden de functie van TTP te vervullen 
en de zvzi, die tegelijkertijd met de andere declaratiegegevens moet worden 
aangeleverd, zodanig te maskeren dat enerzijds de zorgverzekeraars niet over de 
tot de individuele verzekerde patiënt herleidbare zvzi beschikken en anderzijds 
analyses gemaakt kunnen worden ten behoeve van materiële controle, 
risicoverevening en zorginkoop. Vektis, ook als TTP, is de gerede partij om voor 
zorgverzekeraars en zorgaanbieders binnen door hen te maken afspraken die 
analyses uit te voeren. Daarnaast is Vektis bereid gevonden om 
declaratiebestanden van verzekeraars aan te vullen met versleutelde zvzi's, welke 
bestanden zorgverzekeraars bij het zorginstituut moeten aanleveren ten behoeve 
van de uitvoering van de risicoverevening. Doordat Vektis de sleutel op verzoek 
verstrekt aan het zorginstituut kan deze laatste de zvzi's ontsleutelen en 
bewerkingen uitvoeren die noodzakelijk zijn voor de risicoverevening. Vektis is, als 
TTP, voor de GGZ-patiënten, zorgprofessionals, instellingen en verzekeraars,'^ 
aanvaardbaar als bewerker van de zvzi. 

Naast de digitale declaratie vindt ook declaratie op papier plaats. Dat betreft een 
zeer gering deel van de schadelast van de gespecialiseerde geestelijke 
gezondheidszorg en een gering deel van het totaal aantal declaraties voor die 
zorg. Er zijn voor de papieren declaratiestroom verschillende varianten onderzocht 
waarop een aanlevering van de zvzi zou kunnen plaats vinden, Daarbij was het 
doel ook deze aanlevering zo min mogelijk belastend te laten zijn voor de 
persoonlijke levenssfeer van de verzekerde patiënt. Bij het in kaart brengen van 
varianten is gedacht aan een versleuteling van de zvzi bij de zorgaanbieder, 

In deze vertegenwoordigd door: het Landelijk Platform GGZ (LPGGZ),de Landelijke 
Vereniging van Vrijgevestigde Psychologen en Psychotherapeuten (LWP), de Nederlandse 
Vereniging voor de Psychiatrie (NVvpj, het Nederlands Instituut voor Psychologen (NIP), 

GGZ Nederland en Zorgverzekeraars Nederland, 
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handmatig dan wel softwarematig, aan een aanlevering van de papieren declaratie 
aan VECOZO die deze declaratie digitaliseert en de zvzi versleutelt, aan een 
aanlevering van de papieren declaratie met de verplichting voor de zorgaanbieder 
eerst de patiënt te informeren over de mogelijkheid een privacyverklaring te 
gebruiken en diens keuze af te wachten alvorens de geleverde zorg in rekening 
mag worden gebracht en tenslotte is gedacht aan een derde TTP die de declaraties 
ontvangt en de zvzi versleutelt en de declaratie terugstuurt naar de zorgaanbieder 
dan wel de verzekerde of die de declaratie namens de verzekerde doorstuurt aan 
de zorgverzekeraar, waarbij deze TTP dan de sleutel zou verstrekken aan Vektis 
en het zorginstituut ten behoeve van de relevante bewerkingen. 


De in voorgaande alinea kort beschreven varianten voor het aanleveren van de 
zvzi bij de papieren dedaratiestroom zijn alle afgewezen op basis van de volgende 
argumenten: 

Het gaat hier om een zeer gering deel van de schadelast gespecialiseerde 

ggz; 

Het gaat hier om een gering deel van het totaal aantal declaraties voor 
gespecialiseerde ggz; 

De procedure van de versleuteling door een TTP van de zvzi die op papier 
moet worden aangeleverd aan de patiënt is administratief omslachtig en 
kostbaar; 

Het is niet wenselijk de bewijslast op te leggen aan de zorgaanbieder dat 
een verplichting is nageleefd de patiënt te informeren over een 
privacyverklaring (administratieve lasten). 

Daar komt nog het volgende bij: 

Door de toename van digitaal declareren en afname van de papieren 
declaraties zouden de kosten voor versleuteling van de zvzi op de 
papieren declaratie door steeds minder betrokkenen moeten worden 
gedragen; 

De zorgverzekeraars kunnen digitaal declareren stimuleren door de 
daarvoor noodzakelijke overeenkomst niet te koppelen aan 
zorginhoudelijke aspecten; 

De zorgverzekeraars kunnen wellicht binnen de maxlmumtarieven die 
gelden voor gespecialiseerde ggz afspraken maken die stimuleren tot 
declareren via VECOZO, 

Voor digitaal declareren moeten zorgaanbieders een declaratieovereenkomst 
sluiten met een zorgverzekeraar en een (gratis) certificaat aanvragen bij VECOZO. 
Voor digitaal declareren moeten zorgaanbieders zelf zorgen voor een daartoe 
geschikt softwarepakket. 

In dit hiervoor in de toelichting geschetste samenstel van feiten en 
omstandigheden wordt aanleiding gezien om af te zien van de verplichting tot 
aanlevering van een versleutelde zvzi bij een papieren declaratie. Alles 
overwegende wordt het opleggen van een dergelijke verplichting als 
disproportioneel gezien. Daarnaast is het de verwachting dat steeds minder 
zorgaanbieders overblijven die een papieren declaratie indienen bij de verzekerde 
of bij de zorgverzekeraar namens de verzekerde, waardoor de disproportionaliteit 
van een dergelijke verplichting nog zal toenemen. In het licht van voorgaande 
overwegingen en conclusie is het daarnaast ook niet wenselijk dat een beroep op 


Pagina 10 van 33 



een privacyverkJanng noodzakeiijk is voor het niet vermelden van de zvzi. Daarom 
wordt in de regeling zelf opgenomen dat de verzekeraar ook bij een papieren 
declaratie niet de beschikking krijgt over tot de Individuele verzekerde patiënt 
herleidbare zorgvraagzwaartegegevens. De zorgautoriteit kan daartoe in een 
declaratieregeling nadere regels voor vaststellen, waarmee bijvoorbeeld kan 
worden verplicht dat het gegeven zorgvraagzwaarte op de papieren declaratie 
wordt gemaskeerd, (bijvoorbeeld) door standaard de getallen "000" te vermelden 
in het deel van de prestatiecode dat nu gereserveerd is voor de zvzi. De 
zorgautoriteit kan na overleg met het veld tot zodanige maskeringen verplichten 
dat nog onderscheid kan worden gemaakt naar maskering van zvzi bij digitale 
declaratie met en zonder privacyverklaring en bij papieren declaratie ook met en 
zonder privacyverklaring. Het onderscheid in maskering kan noodzakelijk zijn voor 
verwerkingen van de zvzi ten behoeve van de zorginkoop, formele en materiële 
controle en de rfsicoverevening. 

4. Alternatieve aanlevering van de zorgvraagzwaarteindicator 

De voorgaande verkenning van alternatieven heeft geleid tot het volgende model 
voor alternatieve aanlevering van de zvzi dat de basis vormt voor onderhavige 
regeling. 

De hoofddoelen 

Gezamenlijk overleg tussen vertegenwoordigers van de eerdergenoemde 
betrokken partijen over de wijze waarop moet en kan worden omgegaan met 
zorgvraagzwaartegegevens in het dedaratieverkeer, levert het volgende beeld op: 

• Doe! is dat verzekeraars niet anders dan in geaggregeerde vorm de beschik¬ 
king krijgen over de zvzi; 

• De opzet om dat te bewerkstelligen moet zo veel mogelijk aansluiten bij de 
gangbare praktijk; 

• De uitwerking moet een zo laag mogelijke regeldruk en zo laag m-ogelijke ad¬ 
ministratieve lasten met zich brengen; 

• De verzekeraars moeten kunnen voldoen aan hun verplichtingen in het kader 
van de risicoverevening. 

De zekerheden 

In de regeling zijn de volgende zekerheden/waarborgen vastgelegd: 

• De zorgverzekeraar beschikt niet over de sleutel om een versleutelde zvzi te 
kunnen ontsleutelen; 

• De verwerking van zorgvraagzwaartegegevens door VECOZO en Vektis ge¬ 
schiedt als Trusted Third Party (TTP); 

• Voor VECOZO en Vektis gelden dezelfde wettelijke voorschriften inzake ge¬ 
heimhouding van de verwerkte gegevens als voor de zorgverzekeraar; 

• De verwerking van zorgvraagzwaartegegevens door VECOZO en Vektis, als 
TTP, moet voldoen aan passende technische standaarden en verantwoordin¬ 
gen; 

• De door Vektis aan zorgaanbieders en zorgverzekeraars te verstrekken analy¬ 
ses bevatten geen tot individuele verzekerden te herleiden zorgvraagzwaarte¬ 
gegevens; 

• De door Vektis te maken analyses zijn gebonden aan afspraken die daarover 
tussen zorgaanbieders en verzekeraars zijn gemaakt (zie de volgende para¬ 
graaf over de randvoorwaarden rond aggregatie); 
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• De basisgegevens waaruit de zvzi wordt afgeleid zijn opgenomen in de admi* 
nistratie van de zorgaanbieder; 

• De gegevens van de patiënt die noodzakelijk zijn voor het onderbouwen en 
afleiden van de zvzi moeten, herleidbaar naar de betreffende individuele pati¬ 
ënt en de zorgaanbieder, worden verwerkt onder verantwoordelijkheid van een 
medisch adviseur in opdracht van de zorgverzekeraar, indien op grond van 
analyse van de zorgverzekeraar (op basis van geaggregeerde gegevens), of 
naar aanleiding van een ander signaal, er reden is voor het instellen van (na¬ 
dere) materiële controle, De normale regels met betrekking tot de uitvoering 
van materiële controle blijven daarbij voor de zorgverzekeraar en de zorgaan¬ 
bieder van kracht. 

D e randvoorwaarden rond aggregatie 

Met een uniforme maatregel bij de Gedragscode goed verzekeraarschap wordt 
geborgd dat de zorgvraagzwaartegegevens door de zorgverzekeraar uitsluitend in 
geaggregeerde vorm worden gebruikt voor risicoanalyse in het materiële controle¬ 
proces en bij zorginkoop^ De zvzl heeft volgens het rapport zorgvraagzwaarte al¬ 
leen voldoende zeggingskracht op voldoende aggregatieniveau. De zvzi moet ech¬ 
ter wei bij elke declaratie worden aangeieverd ten behoeve de uitvoering van de 
risicoverevening door het zorginstituut. Het tussen zorgaanbieders en zorgverze¬ 
keraars overeengekomen niveau van aggregatie voor het maken van analyses 
heeft dus geen Invloed op de aanlevering van de zvzi, maar enkel op het verwer¬ 
ken daarvan ten behoeve van materiële controle en zorginkoop^^. 

In die bedoelde uniforme maatregel zullen zorgverzekeraars ook vastleggen dat de 
zvzi bij analyses gebruikt zal worden overeenkomstig het beoordelingskader, zoals 
dat nu is ontwikkeld ten behoeve van de opvolger van het eerste rapport over de 
zvzL Dat laat een latere aanpassing van het niveau van aggregatie en de uniforme 
maatregel in verband met verdere dóórontwikkeling van de zvzi en de vastlegging 
daarvan in nieuwe rapportages onverlet, 

p€ hoofdinnen van de alternatieve aanleveringen 

Bij de alternatieve wijzen van aanlevering van de zvzi wordt aangesloten bij de 
bestaande gegevensstromen met betrekking tot declaraties van zorgaanbieders. 
Daarbij wordt zowel in de praktijk als in deze regeling het onderscheidend 
criterium gehanteerd of de zorgaanbieder wel of niet door tussenkomst van 
VECOZO aan de zorgverzekeraar de kosten voor geneeskundige geestelijke 
gezondheidszorg /n rekening brengt. 

Wordt door tussenkomst van VECOZO gedeclareerd, dan wordt de zvzl 


Betrokken partijen hebben volgende afspraken gemaakt over de verwerking van de zvz. In 
het plan van eisen, zoals dat gezamenlijk voor de onderhavige regelmg is vastgestefd staat 
daarover het volgende: ' 

c. Jn een door een bestuurlijk overleg vastgestelde tekst worden zorgvuldigheidswaarborgen 
neergelegd, waaronder dat het gebruik van het gegeven zorgvraagzwaarte alleen gebeurt op 
groepen van voldoende omvang {nader te bepalen). Daarbij wordt geregeld dat als een 
aanbieder minder patiënten in een kalenderjaar behandelt dan dat minimum aantal, die 
aanbieder niet identificeerbaar is in het record/overzicht. De in het bestuurlijk overleg 
vastgestelde tekst zal worden opgenomen in een uniforme maatregel bij de Gedragscode 
goed verzekeraarschap; 

d. De zorgverzekeraar garandeert dat de zorgvraagzwaartegegevens door de verzekeraar 
uitsluitend worden gebruikt voor risicoanalyse in het materiële controleproces en bij 
zorginkoop, conform door een bestuurlijk overleg vastgestelde tekst die kan dienen voor een 
uniforme maatregel bij de Gedragscode goed verzekeraarschap; 
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meegeleverd en zorgt VECOZO voor maskering van de zvzi bij de ggz-dedaratie, 
zodat de verzekeraar niet over de ongemaskeerde zvzi van de individuele 
verzekerde patiënt beschikt. 

Wordt niet door tussenkomst van VECOZO gedeclareerd dan dient de 
zorgaanbieder de zvzi op de declaratie ook te maskeren. De zorgautoriteit legt 
vast op welke wijze de zvzi moet worden gemaskeerd. Vektis ontvangt ook de 

gegevens die zijn aangeleverd bij de papieren declaratie (zoals vermeld zonder de 
zvzi). 


De digitale gegevensstroom gaat van de zorgaanbieder via het zorgportal 
VECOZO, naar de desbetreffende verzekeraar, nadat het gegeven zvzi door 
VECOZO is gemaskeerd. De informatie over de zorgvraagzwaarte wordt (net als 
nu) bij het indienen van een declaratie softwarematig afgeleid uit de gegevens die 
door de zorgaanbieders op grond van een administratieregeling van de 
zorgautoriteit verplicht worden geregistreerd. De zvzi wordt echter (anders dan 
nu) gemaskeerd met de andere declaratiegegevens bij de verzekeraar 
aangeleverd. 

VECOZO zendt de declaratiegegevens en de daarbij behorende ongemaskeerde 
zvzi aan Vektis. 

De verzekeraar zendt de declaratiegegevens na controle in een bestand met de 
gemaskeerde zvzi via VECOZO'^ door naar Vektis. Vektis vult de 
declaratiebestanden van verzekeraars aan met de zvzi, nadat deze zvzi door 
Vektis is versleuteld. 

De verzekeraar zendt de aangevulde declaratiebestanden naar het zorginstituut 
ten behoeve van de uitvoering van de risicoverevening. Doordat Vektis de sleutel 
op verzoek verstrekt aan het zorginstituut kan deze de bewerkingen uitvoeren die 
noodzakelijk zijn voor de risicoverevening. De verzekeraars beschikken niet over 
de sleutel om de zvzi weer te ontsleutelen. Alleen Vektis en het zorginstituut 
beschikken over de sleutel voor de statistische bewerkingen respectievelijk de 
uitvoering van de risicoverevening. 

De Bewerking 

Vektis treedt op als Trusted Third Party (TTP). Over de verwerking van de zvzi 
worden door partijen afspraken gemaakt. Binnen die afspraken kan Vektis TTP 
allerlei analyses op geaggregeerd niveau maken; 

- voor de verzekeraars, bijvoorbeeld ten behoeve van materiële controle en 
zorginkoop, en 

voor de GGZ-patiënten, -professionals, -instellingen en verzekeraars, om 
zodoende een 'lerende omgeving' te vormen waarin de zvzi wordt door¬ 
ontwikkeld. 

De Risicoverevening 

De zorgverzekeraar beschikt niet over de sleutel om het gegeven 
zorgvraagzwaarte te ontsleutelen. De zorgverzekeraar kan dus niet de sleutel 
verstrekken aan het zorginstituut. Er bestaat op dit moment geen wettelijke basis 
(in een ministeriële regeling) Vektis te verplichten de sleutel aan het zorginstituut 
te verstrekken. Daarom moet het zorginstituut gebruik maken van artikel 88, 
eerste en tweede lid, Zvw waarbij het zorginstituut een verzoek doet aan Vektis de 
sleutel aan hem te verstrekken. Vektis Is dan verplicht die sleutel op grond van dat 


VECOZO fungeert hier enkel als zorgportal/"doorgever", er vindt geen bewerking plaats 
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artikel kosteloos te verstrekken aan het zorginstituut. 


De Controles 

VECOZO controleert of declaraties waarbij volgens de regeling van de 
zorgautoriteit door zorgaanbieders een zvzi moet worden aangeleverd, ook een 
zvzi bevatten. (Bij een aantal typen dbc's, zoals crisis-dbc's, hoeft geen diagnose 
vermeld te worden en hoeft dus ook geen zvzi te worden aangeleverd. Dat geldt 
ook bij een zogenaamde privacyverklaring. De zorgautoriteit kan daar nadere 
regels over stellen). Omdat de maskering van de zvzi bij VECOZO zelf plaatsvindt, 
controleert VECOZO ook nog of de waarde van de zvzi overeenkomt met waarden 
die bij de zvzi horen (1-7). Voldoet de zvzi aan de criteria dan volgt maskering van 
de zvzi. Indien dat niet het geval is wordt de declaratie niet doorgezonden en 
wordt de aanbieder geïnformeerd. Dit proces is gelijk aan de andere controles die 
VECOZO al uitvoert. De zorgaanbieder kan dan een gecorrigeerde declaratie 
opnieuw indienen, op de wijze zoals in onderhavige regeling is bepaald. 

Vektis ontvangt van VECOZO de door zorgaanbieders aangeleverde 
declaratiegegevens en de bijbehorende zvzi en maakt als TTP, binnen de afspraken 
die partijen daarover hebben gemaakt, praktijkvariatie-analyses en eventuele 
andere analyses die verzekeraars of zorgaanbieders nodig hebben. Vektis betrekt 
daar ook de papieren declaraties bij (waarop, zoals toegelicht, een gemaskeerde 
zvzi wordt vermeld), waarover Vektis de informatie van de zorgverzekeraars 
ontvangt. Hierboven is al gewezen op de afspraken die gemaakt zijn over het 
niveau van aggregatie en verwerking van de zvzi. Verzekeraars en zorgaanbieders 
krijgen de analyses op de eigen verzekerden/patiënten, naast landelijke 
praktijkvariatiestudies. De uitkomsten mogen in de analyses niet herleidbaar zijn 
tot de zvzi van Individuele verzekerden. De verzekeraars kunnen hiermee hun 
materiële controle uitvoeren volgens het trechtermodel. De zvzi is niet geschikt 
om te gebruiken voor controles op individueel declaratieniveau, maar wel op 
geaggregeerd niveau, Als een verzekeraar op grond van de analyses van Vektis 
een significant afwijkend patroon aantreft bij een zorgaanbieder (in relatie tot 
declaraties van zijn verzekerden en ten opzichte van andere vergelijkbare 
zorgaanbieders) kan dat volgens het trechtermodel een reden zijn om bij de 
aanbieder om uitleg te vragen van die afwijking^'*. Indien nodig kunnen onder 
verantwoordelijkheid van de medisch adviseur in opdracht van de zorgverzekeraar, 
als laatste stap in het proces van materiële controle, ook de relevante delen van 
patiëntendossiers worden ingezien. Daarbij kan onder verantwoordelijkheid van de 
medisch adviseur in opdracht van de verzekeraar ook worden gecontroleerd of de 
zvzi goed is afgeleid. 

De Vriistetiina 

Indien de zorgaanbieder een papieren declaratie zendt hoeft de tot de individuele 
verzekerde patiënt herleidbare zvzi niet te worden aangeleverd. De zorgaanbieder 
maskeert dan conform de door de zorgautoriteit vastgestelde regeling de zvzi. 

Deze vrijstelling is een wezenlijke verandering ten opzichte van de verplichting 
neergelegd in de Regeling zorgvraagzwaarte cGGZ. 

De Materiële contmip. 


*■' Deze analyses kunnen als onderdeel van kwaliteitsbeleid ook met de zorgaanbieders 
gezamenlijk worden besproken. 
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De gegevens van de patiënt die noodzakelijk zijn voor het onderbouwen en aflei- 
den van de zvzi moeten, herleidbaar naar de individuele patiënt en herleidbaar 
naar de zorgaanbieder, worden verwerkt onder verantwoordelijkheid van een me¬ 
disch adviseur in opdracht van de zorgverzekeraar indien op grond van analyses 
van de verzekeraar (op basis van geaggregeerde gegevens), of naar aanleiding 
van een ander signaal, er reden is voor het instellen van (nadere) materiële con¬ 
trole. De normale regels met betrekking tot de uitvoering van materiële controle 
blijven daarbij voor zorgverzekeraars en zorgaanbieders van kracht. 

5. Uitwerking routes alternatieve declaraties 

In de onderhavige regeling is de alternatieve aanlevering vastgelegd die voldoet 
aan de waarborgen en zekerheden die alle betrokken partijen wensen met 
betrekking tot de bescherming van de persoonlijke levenssfeer van de verzekerde 
patiënt, de uitvoering van de zorgverzekering en de Zvw en het verkrijgen van 
inzicht in de (eigen) praktljkvoering door zorgaanbieders. In deze paragraaf 
worden in hoofdlijnen puntsgewijs de routes uitgewerkt die met deze regeling 
worden bewerkstelligd. De zorgverzekeraar heeft bij elektronische declaratie geen 
beschikking over de tot de individuele verzekerde herleidbare zvzi. 

De zorgautoriteit kan na overleg met het veld tot zodanige maskeringen 
verplichten dat nog onderscheid kan worden gemaakt naar maskering van zvzi bij 
digitale declaratie met of zonder privacyverklaring en bij papieren declaratie ook 
met of zonder privacyverklaring. Het onderscheid in maskering kan noodzakelijk 
zijn voor verwerkingen van de zvzi ten behoeve van de zorginkoop, formele en 
materiële controle en de risicoverevening. 

ïn onderstaande schets van de routes wordt op de papieren declaratie op de 
positie van zvzi in de prestatiecode de waarde "000" ingevuld. Bij een uitzondering 
in verband met een privacyverklaring die verzekerde en zorgaanbieder beide 
hebben ondertekend, wordt in onderstaande routes op de positie van zvzi in de 
prestatiecode de waarde "999" ingevuld. De vervanging van de zvzi door de 
waarde "000" of "999" wordt maskering van de zvzi genoemd. Die waarden 
kunnen op grond van een regeling van de zorgautoriteit anders zijn, 

5.1 De digitale declaratie zorgaanbieder - zorgverzekeraar 

De uitwerking van de aanlevering van de zvzi bij een digitale declaratie levert de 
volgende routes op tussen de betrokkenen: 

5.1.1 Declaratie zonder Drivacyverklarlna : 

• Zorgaanbieder declareert via VECOZO met vermelding zvzi 

• VECOZO maskeert zvzi (waarde "000") 

• VECOZO levert declaratiegegevens inclusief gemaskeerde zvzi aan 
zorgverzekeraar 

• Zorgverzekeraar verwerkt declaratie 

5.1.2 Declaratie met privacyverklanno: 

• Zorgaanbieder declareert via VECOZO (met de zvzi waarde voor prlva- 
cybezwaarde "999") 

• VECOZO levert declaratiegegevens inclusief gemaskeerc/e zvzi (waarde 
"999") aan zorgverzekeraar 
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• Zorgverzekeraar verwerkt declaratie 

5,2 Route zorgaanbieder - VECOZO ^ (zorgverzekeraar) - Vektïs 

5.2.1 Route niet gemaskeerde zvzi VECQZO aan Vekti^ 

• VECOZO levert decfaratiegegevens inclusier niet gemaskeerde zvzi aan 
Vektis 

• Vektis maakt analyses voor zorgaanbieders en zorgverzekeraars con¬ 
form onderling gemaakte afspraken 

• In de analyses van Vektis Is de zvzi voor zorgaanbieders en zorgverze¬ 
keraars niet te herleiden tot individuele patiënten 

5-2.2 Route ge maskeerde zvzi zorgverzekeraars aan Veki-i^^ 

• VECOZO levert declaratiegegevens met gemaskeerde zvzi aan zorg¬ 
verzekeraars 

• Zorgverzekeraar verwerkt declaratie 

• Zorgverzekeraars levert declaratiegegevens met gemaskeerde zvzi via 
VECOZO aan Vektis 

5.3. Route aanlevering gegevens risicoverevenlng 

• VECOZO levert declaratiegegevens inclusief de niet gemaskeerde zvzi aan 
Vektis 

• Zorgverzekeraar levert dedaratiebestanden met gemaskeerde zvzi aan 
Vektis 

• Vektis voegt versleutelde zvzi toe aan dedaratiebestanden en handhaaft 
bij privacyverklaring de gemaskeerde zvzi 

• Vektis levert aangevuide dedaratiebestanden aan desbetreffende zorgver¬ 
zekeraar 

• Zorgverzekeraar levert aangevulde dedaratiebestanden aan ZorgTTP 

• ZorgTTP pseudonimlseert gegevens in het declaratiebestand 

• ZorgTTP levert gepseudonimiseerd declaratiebestand aan Zorginstituut 

• Zorginstituut ontvangt desgevraagd van Vektis sleutel 

• Zorginstituut ontsfeutelt zvzi en maakt analyses voor risicoverevening 

5,4 De papieren declaratie 

5.4.1 Route papieren dec l aratie aan verzekerde of (namens de verzekerde) aan 
zorgverzekeraar 

5.4.1.1 Declaratie zonder privacyverklaring 

• Zorgaanbieder declareert aan verzekerde of namens verzekerde aan 
zorgverzekeraar 

o met gemaskeerde vernnelding zvzi op de declaratie (waarde 
” 000 ") 

• Zorgverzekeraar verwerkt declaratie 

5.4.1.2 Declaratie met orivacyverklarina 

• Zorgaanbieder declareert aan verzekerde of namens verzekerde aan 
zorgverzekeraar 

o met gemaskeerde vermelding zvzi op de declaratie (waarde 


Pagina 16 van 33 












"999") 

• Zorgverzekeraar verwerkt declaratie 

5.4.2 Route z orgaanbieder - verzekerde - zorgverzekeraar - Vektis 

• Zorgaanbieder declareert aan verzekerde of namens verzekerde aan 
zorgverzekeraar 

o met gemaskeerde zvzi op de declaratie (waarde "000" of "999") 

• Zorgverzekeraar verwerkt declaratie 

• Zorgverzekeraar levert declaratiegegevens met gemaskeerde zvzi aan 
Vektis 

• Vektis maakt analyses voor zorgaanbieders en zorgverzekeraars 

5.4.3 Route zorgaanbieder-verzekerde -zorgverzekeraar - ZoraTTP -Zorainstituut 

• Zorgaanbieder declareert aan verzekerde of namens verzekerde aan 
zorgverzekeraar 

c met gemaskeerde zvzi op de declaratie (waarde "000" of "999") 

• Zorgverzekeraar verwerkt declaratie 

• Zorgverzekeraar levert declaratiegegevens aan ZorgTTP 

• ZorgTTP pseudonimiseert declaratiegegevens 

• ZorgTTP levert gepseudonimiseerd declaratiegegevens aan Zorginstituut 

• Zorginstituut maakt analyses voor risicoverevening 

6. Groeimodel 

Het (s de bedoeling op een met betrokken partijen nader te bepalen tijdstip het 
geschetste model van aanlevering te vervangen door een model dat hieronder op 
hoofdlijnen wordt geschetst. 

In het toekomstige model voor de aanlevering van de zvzi wordt ook aangesloten 
bij de bestaande gegevensstromen met betrekking tot declaraties van 
zorgaanbieders, zoals die na de inwerkingtreding en implementatie van deze 
regeling zijn ontstaan. Daarbij blijft zowel in de praktijk als In de regeling het 
onderscheidend criterium gehanteerd of de zorgaanbieder wel of niet door 
tussenkomst van VECOZO aan de zorgverzekeraar de kosten voor geneeskundige 
geestelijke gezondheidszorg in rekening brengt. 

Wordt door tussenkomst van VECOZO gedeclareerd, dan wordt de zvzi 
meegeleverd en zorgt VECOZO voor versleuteling van de zvzi bij de ggz' 
declaratie, zodat de verzekeraar niet over de zvzi van de individuele verzekerde 
patiënt beschikt. Die versleuteling is nieuw ten opzichte van het in onderhavige 
regeling neergelegde systeem, waarbij VECOZO de zvzi maskeert. 

Wordt niet door tussenkomst van VECOZO gedeclareerd dan dient de 
zorgaanbieder de zvzi op de declaratie te maskeren. Daarin is thans geen wijziging 
voorzien. 

De digitale gegevensstroom gaat in het toekomstige mode! van de zorgaanbieder 
via het zorgportaf VECOZO, naar de desbetreffende verzekeraar, nadat het 
gegeven zvzi door VECOZO is versleuteld, De informatie over de zorgvraagzwaarte 
wordt bij het indienen van een declaratie softwarematig afgeleid uit de gegevens 
die door de zorgaanbieders op grond van een administratieregeling van de 
zorgautoriteit verplicht worden geregistreerd. De zvzi wordt echter (in dat model) 
versleuteld met de andere declaratiegegevens bij de verzekeraar aangeleverd. 
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De verzekeraar zendt de declaratiegegevens met de versleutelde zvzi na controle 
via VECOZO^^ door naar Vektis voor het maken van analyses en naar het 
zorginstituut, ten behoeve van de uitvoering van de risicoverevening. De 
verzekeraars beschikken niet over de sleutel om de zvzi weer te ontsleutelen. 
Alleen Vektis en het zorginstituut beschikken over de sleutel voor de statistische 
bewerkingen respectievelijk de uitvoering van de risicoverevening. VECOZO en 
Vektfs blijven voor de verwerking van de zvzi een wettelijke TTP, 

Bij de toekomstige aanlevering wordt de zvzi dus niet meer gemaskeerd maar 
versleuteld door VECOZO aangeleverd aan de zorgverzekeraars en krijgt Vektis 
niet meer de onversleutelde of ongemaskeerde gegevens van VECOZO. Wel krij¬ 
gen Vektis en het zorginstituut de sleutel van VECOZO om de versleutelde zvzi te 
ontsleutelen ten behoeve van de analyses respectievelijk de risicoverevening. 
Zorgverzekeraar krijgen ook in het toekomstige model niet de beschikking over tot 
de individuele verzekerde te herleiden zvzi, 

De Rzv zal te gelegener tijd dienovereenkomstig worden gewijzigd. 

7. Verwerking persoonsgegevens 

Voor het uitvoeren van de alternatieve aanlevering van het gegeven zorgvraag- 
zwaarte via VECOZO, waarbij dit gegeven gemaskeerd, versleuteld en ontsleuteld 
wordt, moeten zorgaanbieders, zorgverzekeraars, VECOZO, Vektis en het zorgin¬ 
stituut beschikken over de juiste bevoegdheden, al dan niet gebaseerd op bij of 
krachtens de wet opgelegde verplichtingen, om, waar dat noodzakelijk is bij de 
verwerking van persoonsgegevens, inbreuk te kunnen maken op de bescherming 
van de persoonlijke levenssfeer. 

1. Voor de zorgaanbieders die de zvzi reeds vóór 2 oktober 2014^^ hadden 
verstrekt op de factuur aan zorgverzekeraars, moet er een wettelijke 
grondslag blijven voor het hebben doorbroken van het beroepsgeheim en 
het opheffen van de geheimhoudingsplicht; 

2. Voor de zorgaanbieders die de zvzi vóór 2 oktober 2014 nog niet hadden 
verstrekt op de factuur, moet er een wettelijke grondslag komen de zvzi 
alsnog voor heel 2014 en 2015 op een (alternatieve) wijze aan te leve- 
ren^^ 

3. Voor de zorgaanbieders die de zvzi op de hiervoor beschreven alternatieve 
wijze via VECOZO moeten aanleveren aan verzekeraars moet er een wet¬ 
telijke grondslag zijn^® om: 

a. gegevens uit het behandeldossier van de patiënt te bewerken 
tot/naar een zvzi. 


VECOZO fungeert hier enkel als zorgportairdoorgever^ er vindt geen bewerking plaats 
^ Dit is de dag waarop de oorspronkelijke verplichting om de zvzt op de ggz-factuur te 
vermelden is opgeschort. Zie Stcrt. 2014, nr. 27276. 

De NZa kan in een regeling op grond van de WMG de wijze van aanlevering van de zvzi 
over 2014 en 2015 vaststellen 

De wettelijke (WBP) uitzonderingsgrond dat dit nodig Is voor de behandeling van de 
patiënt of dat er sprake is van de uitvoering van een overeenkomst, Is niet van toepassing 
op de drie verwerkingen; een en ander overlaten aan het toestemmingsvereiste van de 
patiënt is een te grote administratieve belasting voor de zorgaanbieder en te grote 
onzekerheid voor de verzekeraar; blijft over de wettelijke uitzonderingsgrond dat een 
wettehjke regeling een verplichting oplegt. 
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b. gegevens uit het behandefdossier van de patiënt te bewerken en 
deze bij een privacyverklaring te maskeren, en 

c. de (af dan niet gemaskeerde) zvzi samen met de patiëntidentifice- 
rende gegevens te verstrekken aan VECOZO; 

4. Voor de zorgaanbieders die de zvzi van een in 2015 geopende dbc abusie¬ 
velijk op de hiervoor in deze toelichting beschreven alternatieve wijze via 
VECOZO aanlevert aan verzekeraars, voordat de verplichting in werking 
treedt om gebruik te maken van de in deze regeling neergelegde aanleve¬ 
ring, moet er een wettelijke grondslag zijn om: 

a. gegevens uit het behandefdossier van de patiënt te bewerken 
tot/naar een zvzi, 

b. gegevens uit het behandefdossier van de patiënt te bewerken 
tot/naar een zvzi en deze bij een privacyverklaring te maskeren en 

c. de (al dan niet gemaskeerde) zvzi samen met de patiëntidentifice- 
rende gegevens te verstrekken aan VECOZO; 

5. Voor de zorgaanbieders die papieren declaraties zenden moet een wettetlj- 
ke grondslag komen de zvzi te maskeren; 

6. VECOZO moet de bevoegdheid hebben de door zorgaanbieders aangele¬ 
verde tot de patiënt herleidbare zvzi te maskeren, de gemaskeerde zvzi 
met de declaratiegegevens te leveren aan de desbetreffende zorgverzeke¬ 
raar, de ongemaskeerde zvzi te leveren aan Vektis; 

7. Zorgverzekeraars moeten de bevoegdheid hebben: 

a. de gemaskeerde zvzi te zenden aan Vektis, zodat Vektis deze ge¬ 
maskeerde zvzi kan vervangen in de deciaratiebestanden door de 
juiste zvzi, nadat deze zvzi is versleuteld, en 

b. de aldus door Vektis aangevulde deciaratiebestanden via ZorgTTP 
aan het zorginstituut ten behoeve van de uitvoering van de risico- 
verevening; 

8. Vektis moet de bevoegdheid hebben de ongemaskeerde zvzi te verwerken 
ten behoeve van het maken van de met zorgverzekeraars en zorgaanbie¬ 
ders afgesproken analyses op geaggregeerd niveau: 

a. voor de verzekeraars, bijvoorbeeld ten behoeve van materiele con¬ 
trole en zorginkoop, en 

b, voor de GGZ*patiënten, zorgprofessionals, instellingen en verzeke¬ 
raars, om zodoende een 'lerende omgeving' te vormen waarin de 
zvzi wordt doorontwikkeld; 

9. Vektis moet de bevoegdheid hebben de door zorgverzekeraars aangele¬ 
verde deciaratiebestanden aan te vullen met een versleutelde zvzi en de 
deciaratiebestanden met de versleutelde zvzi weer aan de desbetreffende 
zorgverzekeraar toe te zenden voor diens doorzending van het decfaratie- 
bestand via ZorgTTP aan het zorginstituut ten behoeve van de uitvoering 
van de risicoverevening; 

10. Vektis moet de bevoegdheid hebben de sleutel, die is gebruikt bij de ver¬ 
sleuteling van de zvzi die aan de deciaratiebestanden is toegevoegd, te 
verstrekken aan het zorginstituut; 

11. Het zorginstituut moet de bevoegdheid hebben de versleutelde zvzi te ont- 
sleutelen, waardoor de zvzi weer een gegeven wordt dat aan een individu¬ 
ele gepseudonimiseerde verzekerde wordt gekoppeld ten behoeve van de 
uitvoering van de risicoverevening; 

12. De gegevens van de patiënt die noodzakelijk zijn voor het onderbouwen 
en afieiden van de zvzi van de desbetreffende patiënt moeten, herleidbaar 
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naar de individuele patiënt en zorgaanbieder, worden verwerkt onder ver¬ 
antwoordelijkheid van een medisch adviseur in opdracht van de zorgver¬ 
zekeraar indien op grond van analyse op basis van geaggregeerde gege¬ 
vens, of naar aanleiding van een ander signaal, er reden is voor het instel- 
ien van (nadere) materiëie controle. De wettelijke grondslag voor de ma¬ 
teriële controle is (al) geregeld in artikel 87 Zvw en de Rzv. 

2014 en 701S 

Na afloop van de opschorting van de verplichting tot vermelding van de zvzi op de 
declaratie moeten de betreffende zvzi-en alsnog kunnen worden afgeleid uit de 
daarvoor relevante basisgegevens, zoals deze op basis van een administratieregel 
van de zorgautoriteit (verplicht) zijn opgenomen in de administratie van de 
zorgaanbieder. In overleg met alle partijen kan de zorgautoriteit op grond van de 
WMG over de aanlevering regels stellen. Het is niet de bedoeling de declaraties 
over de jaren 2014 en 2015 opnieuw in te laten dienen en opnieuw te laten 
beoordelen door verzekeraars, aangezien dat een te grote administratieve 
belasting van zorgaanbieders en verzekeraars zou betekenen. 

In de regeling is erin voorzien dat er een wettelijke grondslag is voor de zorgaan¬ 
bieders die de zvzi reeds vóór 2 oktober 2014‘® hadden verstrekt op de factuur 
aan zorgverzekeraars, voor het hebben doorbroken van het beroepsgeheim en het 
opheffen van de geheimhoudingsplicht. 

In de regeling is ook voorzien in een wettelijke grondslag voor zorgaanbieders die 
een zvzi via VECOZO aanleveren die behoort bij een in 2015 geopende dbc, dus 
voordat de verplichting in werking treedt om de alternatieve aanlevering te ge¬ 
bruiken. De vrijwaring heeft als doel om de administratieve last bij de zorgaanbie¬ 
der te beperken door het voorkomen van onnodige afkeur van declaraties op basis 
van ingangsdatum. De zorgverzekeraar heeft daarmee ook een vrijwaring voor de 
ontvangst van de aangeleverde data over dbc’s geopend voor 2016. Dit wil zeggen 
de data mogen worden gebruikt in rapportage maar er zijn geen verplichtingen. 
Deze zvzi's worden niet aangeleverd voor de risicoverevening, omdat ze niet wor¬ 
den opgenomen in de declaratiebestanden van verzekeraars met betrekking tot 
het jaar 2016. 

8. Wettelijk kader bescherming persoonsgegevens 

Het vermelden van persoonsgegevens van de verzekerde patiënt, waaronder 
persoonsgegevens betreffende de gezondheid, bij de declaratie, het verwerken 
van die persoonsgegevens dooreen zorgaanbieder, het verstrekken van die 
persoonsgegevens door een zorgaanbieder aan VECOZO, het verwerken van die 
persoonsgegevens door VECOZO ten behoeve van een gemaskeerde doorlevering 
aan verzekeraars, het versleutelen van de zvzi door Vektis en aanvullen van 
declaratiebestanden van verzekeraars, het verwerken van die persoonsgegevens 
door Vektis en het zorginstituut, betekenen een inperking van de bescherming van 
de persoonlijke levenssfeer van de verzekerde patiënt. 

De verplichting tot het verstrekken en verwerken van informatie op 
persoonsniveau ten behoeve van formele^® en materiële^^ controle, zorginkoop en 


Dit is de dag waarop de oorspronkelijke verplichting om de zvzi op de ggz-factuur te 
vermelden is opgeschort. Zie Stcrt, 2014, nr. 27276. 

Artikel 1, onderdeel t. Regeling zorgverzekering definieert formele controle; een onderzoek 




risicoverevening moet aan een aantal eisen op grond van privacywetgeving 
voldoen. Het gaat hier om persoonsgegevens betreffende de gezondheid als 
bedoeld in artikel 16 Wet bescherming persoonsgegevens (Wbp). Artikel 16 van de 
Wbp verbiedt de verwerking van persoonsgegevens met betrekking tot de 
gezondheid van personen. Artikel 21 Wbp bevat een uitzondering voor 
hulpverleners, instellingen of voorzieningen voor gezondheidszorg en 
zorgverzekeraars. Tevens vallen deze gegevens onder het medisch beroepsgeheim 
van de individuele zorgaanbieder^^ respectievelijk de geheimhoudingsplicht van de 
zorgaanbieder^^. 

Omdat het gaat om medische informatie over patiënten moet worden voldaan aan 
hetgeen vereist is krachtens artikel 8 van het EVRM, artikel 8 van het Handvest 
van de grondrechten van de Europese Unie, evenals aan Richtlijn 95/46/EG van 
het Europees parlement en de Raad van 24 oktober 1995, waarvan de Wbp een 
uitwerking vormt en aan artikel 10 van de Grondwet. Vereist is dat voor elke bij of 
krachtens wet opgelegde verplichting tot doorbreking van de medische 
geheimhoudingsplicht de noodzaak, proportionaliteit en subsidiariteit wordt 
aangetoond. 

Toetsino aan het EVRM 

Artikel 8 van het EVRM bepaalt dat een ieder recht heeft op respect voor zijn 
privéleven. Een inperking van dat recht moet ingevolge het tweede lid van dat 
artikel: 

• bij de wet zijn voorzien; 

In casu is dit het geval, zie artikelen 87 Zvw, en 38, 61, 62 en 68 WMG en de 
daarop gebaseerde regelingen voor de formele en materiële controle. De 
verwerking van de zvzi voor zorginkoop is noodzakeiijk voor de invulling van de 
zorgplicht van verzekeraars jegens zijn verzekerden, artikel 11 Zvw. De 
verplichtingen voor de risicoverevening vloeien voort uit Paragraaf 4.2 en de 
(jaarlijks vastgestelde) regeling over risicoverevening. Die wetten en 
regelingen zijn voor een ieder bekendgemaakt in het Staatsblad respectievelijk 
de Staatscourant; 

• een in dat lid genoemd belang dienen; 

In casu is dit het geval, want het gaat hier om materiële controle, 
kwaliteitsverbetering en risicoverevening en derhalve om het economisch 
welzijn van Nederland, 

het voorkomen van strafbare feiten en bescherming van de rechten van 


waarbij de zorgverzekeraar nagaat of het tarief dat door een zorgaanbieder voor een 
prestatie in rekening is gebracht: 

een prestatie betreft, welke is geleverd aan een bij die zorgverzekeraar verzekerde 
persoon; 

2°. een prestatie betreft, welke behoort tot het verzekerde pakket van die persoon, 

3°. een prestatie betreft, tot tevering waarvan de zorgaanbieder bevoegd is, en 
4°. het tarief betreft, dat voor die prestatie krachtens de Wet marktordening 
gezondheidszorg is vastgest'eld of een tarief is dat voor die prestatie met de zorgaanbieder is 
overeengekomen. 

Artikel 1, onderdeel u, Regeling zorgverzekering definieert materiële controle: een 
onderzoek waarbij de zorgverzekeraar nagaat of de door de zorgaanbieder In rekening 
gebrachte prestatie is geleverd en die geleverde prestaüe het meest was aangewezen gezien 
de gezondheidstoestand van de verzekerde. 

ex artikel 88 Wet op de beroepen in de individuele gezondheidszorg juncto artikel 7:457 
Burgerlijk Wetboek 
” ex artikel 7:457 BW 
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verzekerden; 

• en noodzakefijk zijn in een democratische sannenieving, hetgeen inhoudt dat: 
de inperking voorziet in een dringende nnaatschappelijke behoefte; 

In casu is dit het geval, want het gaat om de goede uitvoering van de 

zorgverzekeringsovereenkonnst en van de Zvw; 

de inperking geschikt is om het te dienen belang te realiseren; 

In casu is dit het geval, want met de formele en materiële controles kan 
worden 

nagegaan of aan de wettelijke eisen voor het verlenen van zorg ten laste 
van de basisverzekering wordt voldaan en verzekerden hebben gekregen 
waar zij recht op hebben en of de privaatrechtelijke afspraken tussen 
zorgaanbieder en zorgverzekeraar worden nageleefd; de verwerking van 
declaratiegegevens is ook noodzakefijk om de zorgverzekeraar ten 
behoeve van de nakoming van de wettelijke zorgplicht jegens de 
verzekerden met wie een verzekeringsovereenkomst is gesloten passende 
zorg in te kopen bij zorgaanbieders; de verwerking van declaratiegegevens 
voor de risicovereventng is noodzakelijk om de wettelijk verplichte 
zorgverzekering voor alle ingezetenen in het land in stand te houden; 
en de Inperking voldoet aan de eisen van subsidiariteit en proportionaliteit, 
In casu is dit het geval, want de In de onderhavige regeling opgenomen 
alternatieven zijn zorgvuldig afgewogen en de onderhavige regeling bevat 
een significante verbetering van de bescherming van de persoonlijke 
levenssfeer van de verzekerden ten opzichte van de eerdere regelgeving. 
Met betrekking tot de subsidiariteit en proportionaliteit zij verder verwezen 
naar de hiervoor in deze toelichting opgenomen paragraaf over de 
verkenning. Alle beoogde doelen waarvoor de verwerking van de zvzi 
noodzakelijk is, zijn met de gekozen oplossing te verwezenlijken. 

In zijn advies inzake onderhavige regeling merkt het CBP op geen aanleiding te 
zien tot aanvulling van de reeds In het advies van 4 september 2013 gemaakte 
opmerkingen over de - gelet op artikel 8 EVRM - te onderbouwen noodzaak tot 
verplichting van de zorgaanbieders om het gegeven zorgvraagzwaarte aan te leve^ 
ren teneinde zorgverzekeraars in de gelegenheid te stellen hun wettelijke taken 
uit te voeren^'’, 

Toets/no aan de Wbp 

Naast het EVRM moet ook worden voldaan aan de Wbp. 

VECOZO en Vektis worden krachtens wettelijk voorschrift belast met het uitvoeren 
van daarbij afgebakende specifieke taken - met bijbehorende bevoegdheden en 
verantwoordelijkheden - het gegeven zorgvraagzwaarte te verwerken voor de 
uitvoering van taken door zorgverzekeraars, zonder dat zorgverzekeraars over dat 
gegeven in een tot de persoon herleidbare vorm (hoeven te) kunnen beschikken. 
Met name voor Vektis geldt dat het daarbij gaat om bevoegdheden tot verwerking 
van het gegeven zorgvraagzwaarte, die niet (meer) berusten bij zorgverzekeraars 
zelf. Derhalve kan - in ieder geval voor wat betreft de verwerking van het gegeven 
zorgvraagzwaarte - volgens het CBP niet langer gesproken worden van 
verwerking van persoonsgegevens door Vektis als bewerker In de zin van de Wbp 
voor zorgverzekGraar(-s). Voor deze verwerking moet Vektis derhalve beschouwd 


Advies van 15 september 2015, kenmerk 22015-00360; als bijlage bij de toelichting 
gevoegd 
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worden als verantwoordelijke in de zin van artikel 1, onder d, van de Wbp. 
Datzelfde geldt voor de verwerking van de zvzi voor VECOZO. VECOZO en Vektls 
voeren de verwerkingen zelf uit en dragen ingevolge artikel 13 Wbp en artikel 
7.2b, eerste lid, van deze regeling zorg voor passende technische en 
organisatorische maatregelen om persoonsgegevens te beveiligen bij de 
verwerking van de zvzi, bedoeld in artikel 7.2a. Zie over de positie van VECOZO 
en Vektls in relatie met de Wbp ook hoofdstuk 8 over de verwerking van het CBP 
advies. 

In het tweede lid van artikel 7.2a geeft de minister impliciet aan dat de 
verwerking van de zvzi door VECOZO qua timing parallel moet verlopen aan het 
declaratieproces. De verwerkingen voor zorgaanbieders en zorgverzekeraars door 
VECOZO in het kader van het declaratieproces is gebaseerd op privaatrechtelijke 
overeenkomsten met zorgaanbieders en voorliggende declaratieovereenkomsten 
(administratleovereenkomsten) tussen zorgaanbieders en verzekeraars. 

De koppeling van de verwerking van de zvzi door VECOZO en Vektis aan de 
rechtmatige doelbinding als bedoeld in artikel 9 Wbp, komt tot uiting in artikel 
7.2a Rzv waar in het zesde lid expliciet Is beschreven dat de verwerking van de 
zvzi dient ten behoeve van daarbij aangegeven analyses en controles als bedoeld 
in de artikelen 7.6 tot en met 7.9 RZv met het oog op de formele en materiële 
controle door zorgverzekeraars en de doelen aangegeven in artikel 7.1, tweede 
lid, Rzv, In het tweede lid van artikel 7.2a is naast in vorige volzin bedoelde doe¬ 
len, vastgelegd dat de zorgverzekeraar ook mag beschikken over de zvzi voor 
zover dat noodzakelijk is voor de zorgverzekeraar om te voldoen aan zijn verplich¬ 
ting om gegevens te leveren aan het Zorginstituut ten behoeve van de uitvoering 
van de Zvw. 

In het achtste lid van artikel 7.2a wordt daar voor Vektls impliciet aan toegevoegd 
dat de verwerking geschiedt met het oog op de risicoverevenmg als bedoeld in 
artikel 34 Zvw. In de Regeling structurele aanlevering gegevens Zvw, gebaseerd 
op artikel 90 Zvw, worden zorgverzekeraars verplicht gegevens, waaronder 
persoonsgegevens te verstrekken aan het zorginstituut voor de uitvoering van de 
Zvw. 

In de regeling worden VECOZO en Vektis door de minister verplicht werkzaam te 
zijn ten behoeve van een goede uitvoering van wettelijke voorschriften die 
'voorzien in aanspraken die afhankelijk zijn de gezondheidstoestand van de 
betrokkene" (artikel 21, eerste lid, onder f, Wbp). 

Het zorginstituut ontleent zijn bevoegdheid tot het ontsleutelen van de zvzi en het 
maken van analyses aan zijn taak inzake de risicoverevening, opgedragen bij en 
krachtens de Zvw (paragraaf 4.2). Op grond van artikel 88, eerste en tweede lid, 
jo 89 Zvw is Vektis verplicht op verzoek van het zorginstituut de sleutel voor de 
ontsleuteling van de zvzi aan dat instituut te leveren. 

Artikel 7.2b bevat de noodzakelijke waarborgen voor de verwerking van het 
gegeven zorgvraagzwaarte. 

In artikel 7.2b, eerste lid, wordt in navolging van artikel 13 Wbp aan VECOZO en 
Vektis opgedragen passende technische en organisatorische maatregelen te 
treffen om persoonsgegevens te beveiligen bij de opgedragen verwerkingen en 
tegen verlies of tegen enige vorm van onrechtmatige verwerking. VECOZO en 
Vektis conformeren zich aan internationale normen. Die maatregelen garanderen, 
rekening houdend met de stand van de techniek en de kosten van de 
tenuitvoerlegging, een passend beveiligingsniveau gelet op de risico's die de 


Pagina 23 van 33 


verwerking en de aard van te beschermen gegevens met zich brengen. De 
maatregelen zijn er mede op gericht onnodige verzameling en verdere verwerking 
van persoonsgegevens te voorkomen. VECOZO en Vektis worden regelmatig door 
een onafhankelijke instantie op de invulling van die normen gecontroleerd. Die 
controles zijn bruikbaar voor de toezichthouders. Op deze wijze wordt invulling 
gegeven aan artikel 13 Wbp. 

In artikel 7.2b, vierde lid, wordt ook aan personen, werkzaam bij VECOZO en 
Vektis die niet op grond van hun ambt of beroep tot geheimhouding zijn verplicht 
een geheimhoudingsplicht opgelegd, behoudens enig wettelijk voorschrift hen tot 
mededeling verplicht. Daarmee kunnen ook zij de verwerkingen, bedoeld in artikel 
7.2a, uitvoeren omdat zij aan het artikel 21, tweede lid, Wbp voldoen. Dat 
artikellid bepaalt ondermeer dat verwerking van bijzondere persoonsgegevens, 
waaronder medische persoonsgegevens, is voorbehouden aan personen die op 
grond van ambt, beroep of wettelijk voorschrift gehouden zijn tot geheimhouding 
van die persoonsgegevens. 

In artikel 7.2b, vijfde lid, wordt uitdrukkelijk bepaald dat zorgverzekeraars niet 
mogen beschikken over de sleutel om de versleutelde zvzi te kunnen ontsleutelen. 
In artikel 7,2b, zesde lid, is bepaald dat het gegeven zorgvraagzwaarte en de ge¬ 
gevens van de patiënt, die noodzakelijk zijn voor het onderbouwen en afleiden van 
de zvzi van de betreffende individuele patiënt, moeten worden verwerkt onder 
verantwoordelijkheid van een medisch adviseur in opdracht van de zorgverzeke¬ 
raar, indien op grond van analyse op basis van geaggregeerde gegevens, of naar 
aanleiding van een ander signaal, er reden is voor het instellen van (nadere) ma¬ 
teriële controle. In het zesde lid van artikel 7.2b is - om ieder misverstand te 
voorkomen - opgenomen dat het bepaalde in de artikelen 7.5 t/m 7.11 Rzv inzake 
de uitvoering van materiële controle door zorgverzekeraars onverkort van toepas¬ 
sing blijft. Daarmee wordt aangegeven dat de regels voor het uitvoeren van mate¬ 
riële controle van toepassing blijven. 

In artikel 7.2b, zevende lid, is vastgelegd dat de zorgautoriteit na overleg met het 
veld in een declaratieregeling en onder daarbij te stellen voorwaarden, voorschrif¬ 
ten of beperkingen, bepalen tot zodanige maskeringen kan verplichten dat nog 
onderscheid kan worden gemaakt naar maskering van zvzi bij digitale declaratie 
met en zonder privacyverklaring en bij papieren declaratie ook met en zonder 
privacyverklaring. Het onderscheid in maskering kan noodzakelijk zijn voor ver¬ 
werkingen van de zvzi ten behoeve van de zorginkoop, formele en materiële con¬ 
trole en de risicoverevening. De zorgautoriteit kan ook vaststellen dat de verplich¬ 
ting tot verstrekken van het gegeven zorgvraagzwaarte bij uitzondering niet van 
toepassing is. Deze waarborg wordt, net als die van het zesde lid van artikel 7.2b, 
in het vierde lid van artikel 7.2c Rzv van overeenkomstige toepassing verklaard 
voor de papieren declaratie. Daardoor wordt de privacyverklaring bij digitale en 
papieren declaratie gehandhaafd, 

9. Verwerking advies CBP 

De nieuwe wijze van aanlevering is in de vorm van een concept van onderhavige 
regeling voor advies voorgelegd aan het CBP. In die regeling was de alternatieve 
aanlevering die in de onderhavige regeling als hoofdregel is opgenomen als tijde¬ 
lijk aangemerkt, in afwachting van een definitieve vormgeving van de aanlevering, 
die naar toenmalige verwachting In werking zou treden op 1 januari 2017. Die 
inwerkingtreding wordt thans voorzien op een later tijdstip en wordt in overleg 
met alle betrokken partijen nader bepaald. Het CBP op 15 september 2015 positief 
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geadviseerd heeft over zowel de voorgenomen definitieve vormgeving als over de 
tijdelijke vormgeving van de aanlevering (kenmerk z2015-00360). 

Het advies van het CBP over onderhavige regeling is als bijlage bij deze regeling 
gevoegd. 


In dat advies maakt het CBP volgende opmerkingen. Bij deze opmerkingen wordt 
hierna aangegeven hoe deze in dit advies zijn verwerkt. 

Verplichting voor de zorgaanbieder om het gegeven zorgvraagzwaarte aan 
te leveren 

In het advies van 4 septennber 2013 is het CBP reeds ingegaan op de 
noodzaak voor zorgverzekeraars om ter uitvoering van hun taken te kunnen 
beschikken over persoonsgegevens, waaronder persoonsgegevens betreffende 
gezondheid, over verzekerden van wie de verleende, verzekerde zorg “ in casu 
in de cGGZ - wordt gedeclareerd door zorgaanbieders en/of door de 
verzekerde zelf. In dat verband Is ook de noodzaak onderkend van het 
uitbreiden van de verplichting voor zorgaanbieders in de cGG2 om 
persoonsgegevens aan te leveren bij de declaratie, met het gegeven 
zorgvraagzwaarte, 

In de onderhavige regeling blijft die verplichting voor de zorgaanbieder 
gehandhaafd, maar wordt voorzien in mogelijkheden tot gebruik van het 
gegeven zorgvraagzwaarte voor de taken van zorgverzekeraars, zonder dat 
daarvoor het gegeven zorgvraagzwaarte in tot de persoon herleidbare vorm, 
aan de zorgverzekeraar ter beschikking hoeft te komen. 

Het CBP constateert dat deze wijze van aanlevering en verwerking van het 
gegeven zorgvraagzwaarte in overleg tussen alle betrokken partijen 
(zorgaanbieders en zorgverzekeraars) is ontwikkeld en door alle betrokken 
partijen wordt onderschreven/geaccepteerd. Betrokken partijen merken deze 
werkwijze bovendien aan als een wijze van verwerking waarmee zo min 
mogelijk inbreuk wordt gemaakt op de persoonlijke levenssfeer van de 
verzekerde. 

Het CBP ziet geen aanleiding tot aanvulling van de reeds in het advies van 
4 september 2013 gemaakte opmerkingen over de - gelet op artikel 8 EVRM - 
te onderhouwen noodzaak tot verplichting van de zorgaanbieders om het 
gegeven zorgvraagzwaarte aan te leveren teneinde zorgverzekeraars in de 
gelegenheid te stellen hun taken uit te voeren. 

Uit de opmerking van het CBP wordt opgemaakt dat de noodzaak tot verplichting 
van de zorgaanbieders om het gegeven zorgvraagzwaarte aan te leveren teneinde 
zorgverzekeraars in de gelegenheid te stellen hun taken in het kader van de zorg¬ 
verzekering en de Zorgverzekeringswet uit te voeren in de toelichting van de re¬ 
geling mede met verwijzing naar de toelichting van de Regeling zorgvraagzwaarte 
cGGZ voldoende Is onderbouwd. 

Bevoegdheden en verantwoordelijkheden van VECOZO BV en Vektis CV bij 
de verwerking van het gegeven zorgvraagzwaarte 
In de voorgestelde bepalingen wordt aan zowel VECOZO BV als Vektis CV een 
zodanige rol toebedeeld - met bijbehorende bevoegdheden en 
verantwoordelijkheden - dat het gegeven zorgvraagzwaarte kan worden 
verwerkt voor de uitvoering van taken door zorgverzekeraars, zonder dat 
zorgverzekeraars over dat gegeven in een tot de persoon herleidbare vorm 
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{hoeven te) kunnen beschikken. Met name voor Vektis CV geldt dat het 
daarbij gaat om bevoegdheden tot verwerking van het gegeven 
zorgvraagzwaarte, die niet (meer) berusten bij zorgverzekeraars zelf. Derhalve 
kan - in ieder geval voor wat betreft de verwerking van het gegeven 
zorgvraagzwaarte - niet langer gesproken worden van verwerking van 
persoonsgegevens door Vektis CV als bewerker voor zorgverzekeraar(-s). Voor 
deze verwerking moet Vektis CV derhalve beschouwd worden als 
Verantwoordelijke in de zin van de Wbpt Het CBP adviseert in de Nota van 
Toelichting op dit punt een met de Wbp overeenstemnnende, verhelderende 
beschouwing op te nemen. 

In hoofdstuk 8 is het advies van CBP opgevolgd. Daarbij zij onderschreven dat het 
in deze regeling om een bijzondere constructie gaat waarbij - naar het lijkt - in de 
Wbp niet expliciet is rekening gehouden. De Wbp gaat in de beschrijving van de 
verhouding tussen verantwoordelijke en bewerker uit van de gedachte dat de ver- 
antwoordelijke ook zelf bevoegd is persoonsgegevens, waaronder bijzondere per¬ 
soonsgegevens afs bedoeld in die wet, te verwerken en dat de verantwoordelijke 
de opdracht kan verstrekken aan de bewerker tot bet doen van die verwerking. In 
het onderhavige geval is de minister opdrachtgever van de verwerkingen door 
VEC020 en Vektis. De minister heeft echter zelf niet de bevoegdheid tot verwer- 
king van de zvzi. Gevolg is dat de minister volgens het CBP niet kan worden ge¬ 
zien als een verantwoordelijke in de zin van de Wbp. Een bewerker in de zin van 
de Wbp is degene die opdracht krijgt van de verantwoordelijke. Daar in casu de 
opdrachtgever geen verantwoordelijke kan zijn, lijkt het CBP VEC020 en Vektis, 
op grond van de hun in de onderhavige regeling exclusief opgedragen taken, (mln 
of meer noodgedwongen) te zien als verantwoordelijke In de zin van de Wbp. 
Daarmee zijn de rechten en plichten die op grond van de Wbp voortvloeien uit die 
positie van verantwoordelijke van (overeenkomstige) toepassing voor VECOZO en 
Vektis. 


- Materiële controle door zorgverzekeraars en het gegeven zorgvraag¬ 
zwaarte 

In de Nota van Toelichting wordt opgemerkt dat met de voorgestelde be¬ 
palingen niet wordt uitgesloten dat, in het kader van materiële controle, 
de (medisch adviseur van de) zorgverzekeraar over het gegeven zorg¬ 
vraagzwaarte in tot de persoon herleidbare vorm mag komen te beschik¬ 
ken. De in artt. 7.2a t/m 7.2c Rzv op te nemen regeling inzake de zorg¬ 
vraagzwaarte laat derhalve het bepaalde in artt. 7.5 t/m 7.11 Rzv inzake 
de uitvoering van materiële controle door zorgverzekeraars onverlet. Het 
CBP wijst er - voor de goede orde - op dat het uitvoeren van detailcontro' 
les door zorgverzekeraars in het kader van materiële controle aan strikte 
voorwaarden is gebonden. Met het opvragen van het gegeven zorgvraag¬ 
zwaarte in tot de persoon herleidbare vorm In het kader van materiële 
controle in de cGGZ, dient derhalve de grootste mogelijke terughoudend¬ 
heid te worden betracht. Het CBP adviseert de relevante passages in de 
Nota van Toelichting in deze zin verder aan te scherpen. 

Het CBP wijst er terecht op dat ook In geval alsnog op grond van signalen onder 
verantwoordelijkheid van de medisch adviseur stappen worden gezet met betrek¬ 
king tot materiële controle die er toe leiden dat de zorgverzekeraar beschikt over 
de zvzi, dit alleen geoorloofd is als die stappen zijn gezet conform de artikelen 7.5 
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tot en met 7.11 RZV inzake de uitvoering van materiële controle. In navolging van 
het advies van het CBP is derhalve in het zesde lid van artikei 7.2b - om ieder 
misverstand te voorkomen - opgenomen dat het bepaalde in de artikelen 7.5 t/m 
7.11 Rzv inzake de uitvoering van materiëie controle door zorgverzekeraars on- 
verkort van toepassing blijft. 

- Privacyverklaring en het gegeven zorgvraagzwaarte 
In de MvT wordt aangegeven dat met ingang van 2017 er geen technische 
noodzaak meer zou zijn om de regeling van de NZa inzake de privacyver¬ 
klaring nog van toepassing te laten zijn op het gegeven zorgvraagzwaarte 
dat met de declaratie moet worden aangeleverd. Het CBP adviseert een en 
ander in de Nota van Toelichting nader te onderbouwen, nu er weliswaar 
geen sprake meer is van het - in tot het individu herleidbare vorm - ter 
beschikking komen van het gegeven zorgvraagzwaarte bij zorgverzeke¬ 
raars, maar dit gegeven wel in herleidbare vorm ter beschikking komt van 
andere 'derden'. Het CBP adviseert derhalve om met name aandacht te 
besteden aan de vraag of de bescherming van de persoonlijke levenssfeer 
van cGGZ- patiënten waarin de privacyverklaring beoogd te voorzien, uit¬ 
sluitend betrekking heeft op de verwerking door zorgverzekeraars of zich 
ook tot de verwerking door elke andere 'derden' zou moeten uitstrekken. 

Gelet op het advies van het CBP is er voor gekozen om het systeem van privacy¬ 
verklaringen zowel bij de papieren declaratie als bij de declaratie met tussenkomst 
van VECOZO te handhaven. Dat heeft er toe geleid dat het derde lid van artikel 
7.2 Rzv is verplaatst naar artikel 7.2b, zevende lid, dat expliciet over de waarbor¬ 
gen bij de aanlevering van de zvzi gaat. De zorgautoriteit kan in een declaratiere- 
geimg en onder daarbij te stellen voorwaarden, voorschriften of beperkingen, be¬ 
palen dat de verplichting tot verstrekken van het gegeven zorgvraagzwaarte bij 
uitzondering niet van toepassing is. Deze waarborg wordt, net als die van het zes¬ 
de lid van artikel 7.2b, in het vierde lid van artikel 7.2c Rzv van overeenkomstige 
toepassing verklaard voor de papieren declaratie. 

Met de aangegeven verwerking is op passende wijze aandacht besteed aan het 
advies van het CBP. 

10. Fraudetoets 


In het fraudedebat in mei 2013 in de Tweede Kamer der Staten-Generaal is 
toegezegd alle nieuwe wet- en regelgeving en grote wijzigingen in 
bekostigingssystemen te toetsen op fraudegevoeligheid. Daartoe is een vragenlijst 
ontwikkeld. Op de eerste vraag of definities eenduidig interpreteerbaar, helder en 
duidelijk afgebakend zijn kan, voor zo ver van toepassing positief worden 
geantwoord. De tweede vraag behelst de vraag welke fraudemogelijkheden de 
voorliggende ontwerpregelgeving biedt. Nu het antwoord luidt dat de regeling op 
zich geen fraudemogelijkheden biedt, kan het beantwoorden van verdere vragen 
uit de toets achterwege blijven. 
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Artikelsgewijze toelichting 
Artikel 1, onderdeel A 

De eerste wijziging betreft de aanpassing van de definitie van het rapport zorg- 
vraagzwaarte weike definitie tot doel heeft het begrip zorgvraagzwaarte nader in 
te vullen. De huidige definitie verwijst nu naar het rapport Zorgvraagzwaarte 1.0. 
Op 29 oktober 2015 is een tweede rapportversie vastgestefd waarin de inhoud van 
het begrip zorgvraagzwaarte verder is ontwikkeld. Bij de verwerkingen bedoeld in 
deze regeling moet van het laatst algemeen aanvaarde rapport over zorgvraag¬ 
zwaarte worden uitgegaan. Een voorbeeld van het dynamisch karakter is dat de 
uitzondering die in het eerste rapport is gemaakt voor de zvzi bij persoonlijkheids¬ 
stoornissen in de het tweede rapport niet meer wordt gemaakt. Dat betekent dat 
de grond voor de huidige uitzondering die gebaseerd is op het eerste rapport met 
betrekking tot zorgvraagzwaarte is vervallen. Ook bij persoonlijkheidsstoornissen 
moet de zvzi worden aangeleverd. 

De verdere ontwikkeling van de invulling van het begrip zorgvraagzwaarte sluit 
aan bij de een van de doelen van de aanlevering van de zvzi, namelijk het maken 
van geaggregeerde analyses voor de (koepels van) GGZ-patiënten, zorgprofessio¬ 
nals, instellingen en zorgverzekeraars, om zodoende een 'lerende omgeving' te 
vormen waarin de zvzi wordt doorontwikkeld. 

Artikel I, onderdeel B 

Het tweede lid van artikel 7.2 wordt verplaatst naar artikel 7.2a Rzv. Dat lid wijst 
erop dat de verplichting de zvzi te leveren slechts van toepassing Is Indien de 
zorgautoriteit dat in een declaratieregel heeft bepaald. 

Het derde lid van artikel 7.2 wordt verplaatst naar artikel 7.2b, zevende lid, Rzv. 
Dat Üd verwijst naar de opt/out-regeling annex privacyverklaring die de zorgauto¬ 
riteit heeft opgenomen in de (nadere) regeling met betrekking tot de gespeciali¬ 
seerde ggz, waarbij de privacyverklaring een mogelijkheid geeft tot uitzondering 
op de verplichte aanlevering van het gegeven zorgvraagzwaarte. 

In het vierde lid van artikel 7.2. wordt de verplichting tot het verstrekken van de 
zorgvraagzwaarte op de declaratie op grond van een declaratieregeiing als bedoeld 
in het tweede lid tot en met 31 december 2015 opgeschort en het vierde lid van 
artikel 7.2 kan dus met ingang van 1 januari 2016 vervallen. Omdat er in artikel 
7.2 dan nog slechts een lid resteert vervalt ook de nummering van de leden in 
artikel 7.2 Rzv. 

Artikel I, onderdeel C 

In dit artikelonderdeel worden drie artikelen toegevoegd met betrekking tot de 
verwerking van het gegeven zorgvraagzwaarte. Artikel 7.2a Rzv gaat uit van de 
situatie met maskering door VECOZO. Artikel 7.2b Rzv vestigt de waarborgen voor 
een zorgvuldige verwerking van de zvzi met technische standaarden en 
beveiligingseisen als bedoeld in het zesde lid van artikel 87 Zvw. 

Artikel 7.2c Rzv gaat uit van de situatie waarbij er op papier wordt gedeclareerd. 

Bij de formulering van de artikelen 7.2a tot en met 7.2c Rzv is gebruik gemaakt 
van de mogelijkheden die het derde, vijfde en zesde lid van artikel 87 Zvw bieden 
in combinatie met de mogelijkheden die de zorgautoriteit heeft op basis van de 
artikelen 38, 61, 62 en 68 WMG. Met name is gebruik gemaakt van de onderdelen 
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b tot en met e, van het zesde fid van artikel 87 Zvw, dat de mogelijkheid biedt om 
regels te stelten over de wijze waarop gegevens worden verwerkt, volgens welke 
instructies en technische standaarden de beoogde gegevensverwerking plaats 
moet Vinden, aan welke beveiligingseisen gegevensverwerking moet voldoen en in 
welke gevallen gegevens verder worden verwerkt met het oog op de uitvoering 
van zorgverzekering en aanvullende verzekering en in welke gevallen gegevens 
noodzakelijk zijn voor de betaling aan een zorgaanbieder of vergoeding van 
zorgkosten aan een verzekerde dan wel het verrichten van controle of 
fraudeonderzoek. 

Daarbij wordt aangesloten bij het ruime begrip "verwerken" zoals dat in de Wbp is 
gehanteerd, In artikel 1, onderdeel b, Wbp wordt onder verwerking van 
persoonsgegevens verstaan: elke handeling of elk geheel van handelingen met 
betrekking tot persoonsgegevens, waaronder in ieder geval het verzamelen, 
vastleggen, ordenen, bewaren, bijwerken, wijzigen, opvragen, raadplegen, 
gebruiken, verstrekken door middel van doorzending, verspreiding of enige andere 
vorm van terbeschikkingstelling, samenbrengen, met elkaar in verband brengen, 
alsmede het afschermen, uitwissen of vernietigen van gegevens. De term "in ieder 
geval" brengt met zich dat ook het maskeren, versleutelen en ontsleutelen van 
gegevens tot het verwerken van gegevens mag worden gerekend. Het verwerken 
bedoeld in artikel 87, zesde lid, Zvw heeft betrekking op alle gegevens, waaronder 
persoonsgegevens betreffende de gezondheid als bedoeld in de Wbp. 

Het eerste lid van artikel 7.2a Rzv beperkt de reikwijdte van het artikel tot de si¬ 
tuatie waarbij via VECOZO wordt gedeclareerd. 

Het tweede lid van artikel 7.2a verwijst naar een declaratieregeling op grond van 
artikel 38 van de WMG die door de zorgautoriteit wordt vastgesteld. Het is nood- 
zakelijk dat het gegeven zorgvraagzwaarte deel uitmaakt van de deciaratiegege- 
vens die digitaal door de zorgaanbieder worden aangeleverd aan VECOZO vanwe¬ 
ge het verder te volgen proces, waarbij na maskering de zorgverzekeraar enkel 
kan zien dat het gegeven correct is aangeleverd, doch niet kan zien wat de aange¬ 
leverde zorgvraagzwaarte van de individuele verzekerde is. ïn dat lid wordt ook 
verwezen naar de doelen waarvoor de zvzi mag worden gebruikt. 

In het derde lid van artikel 7.2a wordt bepaald dat de aanlevering van de declara- 
tiegegevens aan de zorgverzekeraar met tussenkomst van VECOZO loopt, waarbij 
wordt verwezen naar de declaratieregel van de zorgautoriteit. 

Het vierde fid van artikel 7,2a bepaalt dat VECOZO het gegeven zorgvraagzwaarte 
maskeert alvorens VECOZO dat gemaskeerde gegeven aan de zorgverzekeraar 
verstrekt. 

Het vijfde lid bepaalt dat de zorgverzekeraar de door de zorgaanbieder verstrekte 
decfaratiegegevens van VECOZO ontvangt. Omdat de afspraak met alle betrokken 
partijen is gemaakt dat het gegeven zorgvraagzwaarte eerst door de "'Trusted 
Third Party" Vektis in analyses wordt verwerkt die zorgverzekeraars gaan gebrui¬ 
ken voor controles, wordt het gegeven zorgvraagzwaarte van de verzekerde door 
VECOZO gemaskeerd en zo aan de zorgverzekeraar aangeleverd en beschikt de 
zorgverzekeraar ook niet over de mogelijkheid om de maskering van het gegeven 
zorgvraagzwaarte ongedaan te maken. 

In het zesde lid wordt geregeld dat de zorgverzekeraar de decfaratiegegevens, 
waaronder het gemaskeerde gegeven zorgvraagzwaarte, aan Vektis verstrekt. 
Vektis maakt op basis van de aangeleverde gegevens analyses voor zorgaanbie¬ 
ders en zorgverzekeraars die noodzakelijk zijn voor de uitvoering van de zorgver¬ 
zekering of de Zvw en ten behoeve van het verrichten van controle of fraudeon- 
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derzoek. Vektis ontvangt daartoe van VECOZO het ongemaskeerde gegeven zorg- 
vraagzwaarte (lid 7). 

Vektis verstrekt op verzoek van een zorgverzekeraar aan deze ook het gegeven 
zorgvraagzwaarte van zijn verzekerden, nadat Vektis het gegeven heeft: versleu¬ 
teld. Zorgverzekeraars kunnen daarmee voldoen aan de verplichting die gegevens 
aan te leveren aan het zorginstituut ten behoeve van de uitvoering van de risico- 
verevening (lid 8). 

In de leden 9 en 10 is de routing van de aanlevering van het gegeven zorgvraag¬ 
zwaarte aan het Zorginstituut opgenomen. De zorgverzekeraar verstrekt op ver¬ 
zoek van het zorginstituut de door Vektis versleutelde zorgvraagzwaartegegevens. 
Vektis verstrekt op verzoek van het zorginstituut de sleutei om de zorgvraag¬ 
zwaarte te ontsleutelen. Na ontsieuteling kan het zorginstituut de gegevens ver¬ 
werken ten behoeve van de uitvoering van de risicoverevening. De bevoegdheid 
van het zorginstituut tot het doen van de verzoeken en de piicht tot medewerking 
van de Vektis en verzekeraars aan die verzoeken is gegrond op artikel 88, eerste 
en tweede lid, jo 89 Zvw. 


In artikel 7.2b zijn de voor alle betrokken partijen belangrijke waarborgen opge¬ 
nomen bij de verwerking van de zvzi. In het eerste lid worden VECOZO en Vektis 
opgedragen passende technische en organisatorische maatregelen te nemen ter 
bescherming van de persoonsgegevens bij de verwerkingen als bedoeld In artikel 
7.2a. Zoals reeds in het algemeen deel van de toelichting is gemeld, worden de 
getroffen maatregelen periodiek geaudit door een onafhankelijke instantie. 

Ter bescherming van persoonsgegevens van verzekerde patiënten is in het tweede 
lid van artikel 7,2b bepaald dat de door Vektis aan zorgaanbieders en zorgverze¬ 
keraars te verstrekken rapportages geen tot individuele verzekerden te herleiden 
gegevens bevatten. Met de bepaling dat ook de zorgverzekeraars niet over de tot 
individuele verzekerden te herleiden zorgvraagzwaarte beschikken, wordt een 
ongewenste inbreuk op de bescherming van persoonsgegevens voorkomen, con¬ 
form het doel van deze regeling. 

Nu het nieuwe artikel 7.2b een specialis is van artikel 7.3 voor wat betreft de 
aanwijzing van bewerkers, omdat in het nieuwe artikel de bewerkers VECOZO en 
Vektis voor een specifieke bewerking zijn aangewezen, is het wenselijk overeen¬ 
komstig het derde lid van artikel 7.3 te bepalen dat ook VECOZO en Vektis zijn 
gebonden aan dezelfde wettelijke voorschriften inzake geheimhouding als de zorg¬ 
verzekeraars. Dat is gebeurd in het derde lid. 

In het verlengde van het derde lid is in het vierde lid van artikel 7.2b een over¬ 
eenkomstige bepaling als het vijfde lid van artikel 87 Zvw opgenomen voor het 
personeel van VECOZO en Vektis. Personen werkzaam bij of ten behoeve van VE¬ 
COZO en Vektis voor wie niet reeds uit hoofde van ambt of beroep een geheim- 
houdlngplicht geldt, zijn verplicht tot geheimhouding van de gegevens die zij op 
grond van artikel 7.2a verwerken, behoudens voor zover enig wettelijk voorschrift 
hen tot mededeling verplicht. Daarmee kunnen ook zij de verwerkingen, bedoeld 
in artikel 7.2a, uitvoeren omdat zij aan het artikel 21, tweede lid, Wbp voldoen. 
Dat artikellid in de Wbp bepaalt onder meer dat verwerking van bijzondere per¬ 
soonsgegevens, waaronder medische persoonsgegevens, is voorbehouden aan 
personen die op grond van ambt, beroep of wettelijk voorschrift gehouden zijn tot 
geheimhouding van die persoonsgegevens. 

In het vijfde lid wordt uitdrukkelijk bepaald dat zorgverzekeraars niet mogen be¬ 
schikken over de sleutel om de versleutelde zvzi te kunnen ontsleutelen. 
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In artikel 1 ^ zesde lid, is bepaald dat het gegeven zorgvraagzwaarte en de gege¬ 
vens van de patiënt, die noodzakelijk zijn voor het onderbouwen en affeiden van 
de zvzf van de betreffende individuele patiënt, moeten worden verwerkt onder 
verantwoordelijkheid van een medisch adviseur in opdracht van de zorgverzeke¬ 
raar, indien op grond van analyse op basis van geaggregeerde gegevens, of naar 
aanleiding van een ander signaal, er reden is voor het instellen van (nadere) ma¬ 
teriële controle, In het zesde iid van artikel 7.2b is - om ieder misverstand te 
voorkomen - opgenomen dat het bepaalde in de artikelen 7.5 t/m 7.11 Rzv inzake 
de uitvoering van materiële controle door zorgverzekeraars onverkort van toepas¬ 
sing blijft. Daarmee wordt aangegeven dat de regels voor het uitvoeren van mate¬ 
riële controle van toepassing blijven. 

In artikel 7.2b, zevende lid, is vastgelegd dat de zorgautoriteit na overleg met het 
veld in een declaratieregeling en onder daarbij te stellen voorwaarden, voorschrif¬ 
ten of beperkingen, bepalen tot zodanige maskeringen kan verplichten dat nog 
onderscheid kan worden gemaakt naar maskering van zvzi bij digitale declaratie 
met en zonder privacyverklaring en bij papieren declaratie ook met en zonder 
privacyverklaring. Het onderscheid in maskering kan noodzakelijk zijn voor ver¬ 
werkingen van de zvzi ten behoeve van de zorginkoop, formele en materiële con¬ 
trole en de risicoverevening. De zorgautoriteit kan ook vaststellen dat de verplich¬ 
ting tot verstrekken van het gegeven zorgvraagzwaarte bij uitzondering niet van 
toepassing is. Deze waarborg wordt, net als die van het zesde lid van artikel 7.2b, 
in het vierde lid van artikel 7,2c van overeenkomstige toepassing verklaard voor 
de papieren declaratie. Daardoor wordt de privacyverklaring bij digitale en papie¬ 
ren declaratie gehandhaafd. 

In artikel 7,2c wordt de procedure aangegeven die moet worden gevolgd indien de 
verzekerde of de zorgaanbieder namens de verzekerde de kosten van 
gespecialiseerde geestelijke gezondheidszorg zonder tussenkomst van VECOZO in 
rekening brengt bij diens zorgverzekeraar. In dat geval beschikt de verzekeraar 
niet over het gegeven zorgvraagzwaarte. De zorgautoriteit kan hier nadere regels 
bij stellen, bijvoorbeeld door te verplichten dat de zvzi op de declaratie wordt 
gemaskeerd en te regelen hoe dat moet plaatsvinden. Het vierde lid van artikel 
7.2c bepaalt dat het zesde en zevende lid van artikel 7.2b Rzv van 
overeenkomstige toepassing zijn voor papieren declaraties. 

Artikel I, onderdelen D en E 

Het nieuwe artikel 7.2a is een specialis van artikel 7.3 Rzv voor wat betreft de 
aanwijzing van verwerkers van de zvzi. In dat nieuwe artikel zijn VECOZO en Vek- 
tls exclusief^^ als TTP, voor een specifieke bewerking van de zvzi aangewezen. 
Zonder nadere wijziging van artikel 7.3 zou er strijd ontstaan met de verplichte 
aanlevering die in dat artikel is opgenomen. Daarin is namelijk opgenomen dat 
declaratiegegevens aan een zorgverzekeraar of een door deze aan te wijzen per¬ 
soon moeten worden verstrekt. Om af te kunnen wijken van artikel 7,3 moet voor 
die algemene verplichting een uitzondering worden gemaakt. Derhalve wordt aan 
het eerste lid toegevoegd: , indien bij of krachtens deze regeling anders is be- 


De in deze regeling opgenomen exclusiviteit bewerkstelligd dat VECOZO en Vektis in 
navolging van het advies van het CBP ais verantwoordelijke In de zin van de Wbp worden 
beschouwd, Zie daarvoor ook de hoofdstukken 7,8 en 9 van het algemeen deel van de 
toelichting 
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paald. Die wijziging voorziet erin dat de artikel 7.2a voorgaat op artikel 7 3 van de 
Rzv. 

In de overige onderdelen worden de verwijzingen in die regeling gecorrigeerd die 
noodzakelijk zijn na inwerkingtreding van deze regeling. 


Artikel II 

Dit artikel vervangt Artikel II van de Regeling verlenging tijdelijke opschorting 
zorgvraagzwaarte cGGZ (Staatscourant 2015, nr. 6779). 

Het tweede lid van Artikel II regelt dat na afloop van de opschorting de 
betreffende zvzi-en alsnog moeten worden afgeleid en aangeleverd mits dat op 
een door de zorgautoriteit te bepalen wijze op grond van de WMG in een regeling 
is vastgelegd. Het is niet de bedoeling de declaraties over de jaren 2014 en 2015 
opnieuw in te laten dienen en opnieuw te laten beoordelen door verzekeraars, 
aangezien dat een te grote administratieve belasting van zorgaanbieders en 
verzekeraars zou betekenen. Over de wijze van aanlevering zal met betrokkenen 
worden overlegd. 


Artikel III 

Dit artikel bevat in het eerste lid het overgangsrecht voor de zorgaanbieders die 
de zvzl reeds vóór 2 oktober 2014^^ hebben verstrekt op de factuur. Voor hen 
moet er een wettelijke grondslag blijven voor het feit dat zij daarmee hun be¬ 
roepsgeheim hebben doorbroken en hun geheimhoudingsplicht is opgeheven. 

In het tweede lid is ook voorzien in een wettelijke grondslag voor zorgaanbieders 
die een zvzi via VECOZO aanleveren die behoort bij een geopende dbc, voordat de 
verplichting in werking treedt om de alternatieve aanlevering te gebruiken. De 
vrijwaring heeft als doel om de administratieve last bij de zorgaanbieder te beper¬ 
ken door het voorkomen van onnodige afkeur van declaraties op basis van in¬ 
gangsdatum. De zorgverzekeraar heeft daarmee ook een vrijwaring voor de ont¬ 
vangst van de aangeleverde data over dbc's geopend vóór 2016. Dit wil zeggen 
dat de data gebruikt mogen worden voor de formele en materiële controle. Deze 
zvzi s worden niet aangeleverd voor de risicoverevening, omdat ze niet worden 
opgenomen in de deciaratiebestanden van verzekeraars met betrekking tot het 
jaar2016. 


Artikel IV 

Dit artikel bevat de inwerkingtreding van de regeling en verleent aan de relevante 
onderdelen van de artikelen van de regeling terugwerkende kracht tot en met 
1 januari 2014, zodat de aanlevering van zorgvraagzwaartegegevens die ingevol¬ 
ge de opschorting van levering op de factuur nog niet zijn aangeleverd, alsnog 
verplicht kan worden gesteld op de wijze die de zorgautoriteit in een regeling op 
grond van de WMG bepaalt, 


Dit is de dag waarop de oorspronkelijke verplichting om de zvzl op de ggz-factuur te 
vermelden is opgeschort. Zie Stcrt. 2014, nr 27276. 
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Artikel V 


Aan de regeling is een citeertitel toegekend, onndat naar verwachting veel naar de 
onderhavige regeling zal worden verwerven. 


De Minister van Volksgezondheid, 
Welzijn en Sport, 


mv((. dV^E.Ï.^Schr^ip^rs 


COLLEGE BESCHERMING PERSOONSGEGEVENS 


POSTADRES Postbus 93374 2509 AJ Den Haag bezoekadres Juliana van StoJberglaan 4-10 
TIL 070 - 88 88 500 fAx 070 88 88 501 internet www.cbpweb nl 


AAN Minister van Volksgezondheid, Welzijn 
en Sport 

mw. drs. E.I. Schippers 
Postbus 20350 
2500 EJ DEN HAAG 


DATUM 15 september 2015 
ONS KENMERK Z20l5*00360 

CQNTAaPERSOON 


uwBRjtFVAN 17 juli 2015 
UW KENMERK 798552-1393S9-MC 


ONOFRWTKP Adviesaanvraag alternatieve aanlevering 
zorg\'raagzwaarte cGGZ 


Geachte mevrouw Schippers, 

Bij brief d.d. 17 juli 2015 heeft u het College bescherming persoonsgegevens (CBP) om advies 
gevraagd over een wijziging van de Regeling zorgverzekering in verband met de versleutelde 
aanlevering van de zorgvraagzwaarteindicator aan zorgverzekeraars. Over de aanlevering van 
zorgvraagzwaartegegevens aan zorgverzekeraars is door het CBP op 4 september 2013 reeds 
eerder advies uitgebracht {z2013-00498). Met deze brief voldoet het CBP aan uw verzoek. 

Hoofcflijtteii van de regeling 

Aan de Regeling zorgverzekering wordt een drietal nieuwe artikelen toegevoegd (artikelen 7.2a, 
7.2b en 7.2c). In artikel 7,2a wordt geregeld dat de zorgaanbieder bij de declaratie het gegeven 
zorgvraagzwaarfe verstrekt via VECOZO BV aan de zorgverzekeraar. VECOZO BV zorgt daarbij 
voor de versleuteling van het gegeven zorgvraagzvvaarte voordat dat gegeven met de overige 
declaratiegegevens aan de zorgverzekeraar wordt verstrekt. Ook verstrekt VECOZO BV de 
declaratiegegevens en het versleutelde gegeven zorgvraagzwaarte aan Vekris CV. Ten behoeve 
van het maken van analyses voor zorgaanbieders en zorgverzekeraars, noodzakelijk voor de 
uitvoering van de zorgverzekering of de Zorgverzekeringswet en ten behoeve van het verrichten 
van controle of fraudeonderzoek, verkrijgt Vektis CV van VECOZO BV ook de sleutel waarmee 
het gegeven zorgvraagzwaarte kan worden ontsleuteld. In artikel 7,2c is een regeling opgenomen 
voor het geval de declaratie bij de zorgverzekeraar zonder tussenkomst van VECOZO BV' 
plaatsvindt. In artikel 7.2b wordt aan VECOZO BV en Vektis CV een aantal verplichtingen 
opgelegd, onder andere een plicht tot beveiliging van persoonsgegevens en geheimhouding van 
die gegevens. 

Beoordelifsg 

Verplichting voor de zorgaanbieder om het gegeven zorgvraagzwaarte aan te leveren 
In het advies van 4 september 2013 is het CBP reeds ingegaan op de noodzaak voor 
zorgverzekeraars om ter uitvoering van hun taken te kunnen beschikken over persoonsgegevens, 
waaronder persoonsgegevens betreffende gezondheid, over verzekerden van wie de verleende, 
verzekerde zorg “ in casu in de cGGZ - wordt gedeclareerd door zorgaanbieders en/of door de 
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verzekerde zelf. In dat verband is ook de noodzaak onderkend van het uitbreiden van de 
verplichting voor zorgaanbieders in de cGGZ om persoonsgegevens aan te leveren bij de 
declaratie, met hel gegeven zorgvraagzwaarte. 

In de onderhavige regeling blijft die verplichting voor de zorgaanbieder gehandhaafd, maar 
wordt voorzien in mogelijkheden tot gebruik van het gegeven zorgvraagzwaarte voor de taken 
van zorgverzekeraars, zonder dat daarvoor het gegeven zorgvraagzwaarte in tot de persoon 
herleidbare vorm, aan de zorgverzekeraar ter beschikking hoeft te komen. 

Het CBP constateert dat deze wijze van aanlevering en verwerking van het gegeven 
zorgvraagzwaarte in overleg tussen alle betrokken partijen (zorgaanbieders en zorgverzekeraars) 
is ontwikkeld en door alle betrokken partijen wordt onderschreven/geaccepteerd, Betrokken 
partijen merken deze werkwijze bovendien aan als een wijze van verwerking waarmee zo min 
mogelijk inbreuk wordt gemaakt op de persoonlijke levenssfeer van de verzekerde. 

Het CBP ziet geen aanleiding tot aanvulling van de reeds in het advies van 4 september 2013 
gemaakte opmerkingen over de - gelet op artikel 8 EVRM - te onderbouwen noodzaak tot 
verplichting van de zorgaanbieders om het gegeven zorgvraagzwaarte aan te leveren teneinde 
zorgverzekeraars in de gelegenheid te stellen hun taken uit te voeren. 

- Bevoegdheden en veranhvoordelijkheden van VECOZO BV en Vektis CV bij de 
verwerking van het gegeven zorgvraagzwaarte 
In de voorgestelde bepalingen wordt aan zowel VECOZO BV als VekHs CV een zodanige rol 
toebedeeld - met bijbehorende bevoegdheden en verantwoordelijkheden - dat het gegeven 
zorgvraagzwaarte kan worden verwerkt voor de uitvoering van taken door zorgverzekeraars, 
zonder dat zorgverzekeraars over dat gegeven in een tot de persoon herleidbare vorm (hoeven te) 
kunnen beschikken. Met name voor Vektis CV geldt dat het daarbij gaat om bevoegdheden tot 
verwerking van het gegeven zorgvraagzwaarte, die niet (meer) berusten bij zorgverzekeraars zelf. 
Derhalve kan - in ieder geval voor vvat betreft de verwerking van het gegeven zorgvraagzwaarte - 
met langer gesproken worden van verwerking van persoonsgegevens door Vektis CV als 
bewerker voor zorgverzekeraar(-s). Voor deze verwerking moet VekHs CV derhalve beschouwd 
worden als 'verantwoordelijke in de zin van de Wbp'. 

Het CBP adviseert tn de Nota van Toelichting op dit punt een met de Wbp 
overeenstemmende, verhelderende beschouwing op te nemen. 


Materiële controle door zorgv'erzekeraars en het gegeven zorgvraagzwaarte 
In de Nota van Toelichting wordt opgemerkt dat met de voorgestelde bepalingen niet wordt 
uitgesloten dat, in het kader van materiele controle, de (medisch adviseur van de) 
zorgverzekeraar over het gegeven zorgvraagzwaarte in tot de persoon herleidbare vorm mag 
komen te beschikken. De in artt. 7,2a t/m 7,2c Rzv op te nemen regeling inzake de 
zorgvraagzwaarte laat derhalve het bepaalde in artt. 7.5 t/m 7.11 Rzv inzake de uitvoering van 
materiele controle door zorgverzekeraars onverlet. Het CBP wijst er - voor de goede orde - op dat 
het uitvoeren van detailcontroles door zorgverzekeraars in het kader van materiële controle aan 
strikte voorwaarden is gebonden. Met het opvragen van het gegeven zorgvraagzwaarte in tot de 
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persoon herleidbare vorm in hel kader van materiele controle in de cGGZ, dient derhalve de 
grootste mogelijke terughoudendheid te w'orden betracht. 

Het CBP adviseert de relevante passages in de Nota van Toelichting in deze zin verder 
aan te scherpen. 


Privacyverklaring en het gegeven zorgvraagzwaarte 
In de MvT wordt aangegeven dat met ingang van 2017 er geen technische noodzaak meer zou zijn 
om de regeling van de NZa inzake de privacyverklaring nog van toepassing te laten zijn op het 
gegeven zorgvraagzwaarle dat met de declaratie moet worden aangeleverd. 

Het CBP adviseert een en ander in de Nota van Toelichting nader te onderhouwen^ nu er 
weliswaar geen sprake meer is van het - in tot het individu herleidbare vorm - ter 
beschikking komen van het gegeven zorgvraagzwaarte bij zorg\'erzekeraars, maar dit 
gegeven wel in herleidbare vorm ter beschikking komt van andere ^derden'. Het CBP 
adviseert derhalve om met name aandacht te besteden aan de vraag of de bescherming 
van de persoonlijke levenssfeer van cGGZ- patiënten waarin de privacyverklaring beoogd 
te voorzien, uitsluitend betrekking heeft op de verwerking door zorgverzekeraars of zich 
ook tot de verwerking door elke andere 'derden' zou moeten uitstrekken. 


Advies 

Het CBP advistjerl u aan het vorenstaande op passende wijze aandacht te besteden. 


Hoogachtend, 

Voor het Collie bescherming persoonsgegevens, 


mr. W.^M. T/omesen 
Collegelid 
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